Poging om achterdeur in Linux te bouwen onderschept

Een oplettende kernel-programmeur heeft vreemde code in een onderdeel van de kernel ontdekt. De bewuste code geeft de mogelijkheid om op een illegale manier root-rechten te verkrijgen. Het gaat om een file genaamd exit.c uit de 2.6-test development tree. Het probleem werd besproken in de Linux kernel mailing list, de plek waar de kernelhackers met elkaar overleggen over aanpassing en ontwikkeling van de kernel. De programmeurs denken dat iemand heeft ingebroken in één van de systemen waar de programmatuur staat en ter plaatse de code heeft aangepast. Het log wijst de wijzigingen onterecht toe aan een van de bekende programmeurs.

Men is niet bang dat de kernel nog meer van dit soort back doors bevat. Het is vrijwel onmogelijk om de kernel te wijzigen zonder dat men het ontdekt, stelt zowel Larry McVoy, één van de specialisten, als Linus Torvalds zelf. Er wordt gebruik gemaakt van verschillende trees die tenminste één keer per dag vergeleken worden. Om toch nog te zorgen voor meer zekerheid zal er binnenkort gebruik worden gemaakt van GPG encryptie. McVoy verwacht niet dat de foute code in een vrijgegeven kernel terecht is gekomen, het probleem is snel opgepakt en verholpen:

It's possible but I doubt it. I've verified 30 seconds ago that the change is not in in Linus' BK tree. We run these comparisons every night (and I'm going to increase that after we reinstall the machine). So I noticed this this morning and had the tree fixed this afternoon; I suppose people could complain that it should have been sooner but I was running tests to make sure it was not some problem in the BK2CVS exporter code.

Even with the delay, the problem was identified and corrected in less than 24 hours. That doesn't leave a lot of time to have the problem get into the real release tree.

Reacties (90)

[]Byte[]

Wie zegt dat niet geprobeerd is deze backdoor er in te plaatsen door eoa geheime dienst....?
Ik kan je wel vertellen dat er zeker wel grote insteresse is voor geheime diensten JUIST omdat dit soort open source projecten best lastig kunnen zijn...
Als ze een backdoor in bijv. Windows willen hebben hoeven ze maar bij 1 partij aan te kloppen en dan ff de nodige politiek te bedrijven en ze hebben hun deurtje...
En voor de klant is het niet zichtbaar juist omdat er geen sources beschikbaar zijn.
Maar de open source gemeenschap heeft niks met die politiek te maken / wil niks met politiek te maken hebben.
En dan wordt het wel heel lastig om ergens een deur in te krijgen waarvan dan ook nog eens alle code wel openbaar is en de kans op ontdekking wel heeeel groot is!

[Rembert]

Het is nog een slag moeilijker voor die geheime diensten. Een CIA kan gewoon bij Microsoft aankloppen voor implementatie van een backdoor, bij Symantec voor een stukje code in de virusscanner zodat de backdoor niet wordt herkend enz. Allemaal Amerikaanse bedrijven die vaak wel geneigd zijn te luisteren naar opdrachten van overheidswege, CIA enz.

Met de Open Source gemeenschap ligt het anders. Een open source developer in de VS zal nog niet zo snel zijn middelvinger opsteken naar een CIA officer en zal misschien nog doen wat die officer hem dwingt te doen, maar de code wordt daarna gecontroleerd door bv. een zweedse open source developer. Die steekt wel zijn middelvinger op, sloopt de code eruit en voila, de CIA agent kan weer vooraan beginnen. De handen van de open source gemeenschap zijn veel minder gebonden aan lokale politieke belangen en dat moet ook zo blijven. Zelfs als het argument 'oorlog tegen terrorisme' in de strijd wordt gegooid. Houd het alsjeblieft clean. En gelukkig kan dat dus ook omdat de open source gemeenschap heel internationaal is.

Waar zit nu de weakest link? Bijvoorbeeld bij de linux distributeurs als RedHat, Suse enz. Dat zijn weer wel bedrijven die landsbelangen etc. die niet zomaar 's lands belangen (...) kunnen ontduiken en dus mogelijk gedwongen kunnen worden om patches door te voeren. Maar dan nog... de open source gemeenschap heeft dat geheid snel genoeg door en dan hebben we een rel van de bovenste plank...

[Tomatoman]

Wat me erg verbaast is de manier waarop veel Linuxgebruikers reageren op dit nogal ernstige incident. De tendens in veel van die reacties is dat het valt allemaal wel meevalt. Welgesteld is dit echter het grootste incident op het gebied van Linuxveiligheid in de laatste jaren. Gelukkig is het iemand opgevallen dat de code was veranderd, want als dat niet was gebeurd was de backdoor waarschijnlijk heel lang onontdekt gebleven.

De Linuxontwikkelaars bezweren dat dit de eerste keer is geweest dat iemand de Linuxbroncode stiekum heeft verandert, maar hoe weten wij dat zeker? Daarvoor moeten we Larry McVoy en Linus Torvalds op hun woord geloven. Ik zie geen reden om dat niet te doen, maar ook zij weten niet voor 100% zeker dat er niet al eerder backdoors in de broncode zijn ingebouwd. Let even op de formulering:

Het is vrijwel onmogelijk om de kernel te wijzigen zonder dat men het ontdekt, stelt zowel Larry McVoy, één van de specialisten, als Linus Torvalds zelf.

Er staat vrijwel onmogelijk, dus ze sluiten het niet uit!

Ik vind het nogal lichtzinnig om er gewoon vanuit te gaan dat er nooit eerder op dezelfde manier backdoors in Linux zijn ingebouwd. Zoiets bedek je niet met de mantel der liefde, maar moet gewoon haarfijn worden uitgezocht.

Ik wil hiermee niet betogen dat Linux onveilig is of dat Larry McVoy en Linus Torvalds niet de waarheid spreken. Waar het mij om gaat, is dat niemand het probleem serieus lijkt te nemen. Het is niet uitgesloten dat er al eerder backdoors in Linux zijn ingebouwd. Zelfs al is dit onwaarschijnlijk, feit is dat niemand kan garanderen dat er geen andere backdoors zijn.

[Verwijderd]

Wat me erg verbaast is de manier waarop veel Linuxgebruikers reageren op dit nogal ernstige incident. De tendens in veel van die reacties is dat het valt allemaal wel meevalt. Welgesteld is dit echter het grootste incident op het gebied van Linuxveiligheid in de laatste jaren. Gelukkig is het iemand opgevallen dat de code was veranderd, want als dat niet was gebeurd was de backdoor waarschijnlijk heel lang onontdekt gebleven.

Wat mij opvalt is dat uit jouw reactie niet blijkt dat jij kennis hebt over hoe lang deze backdoor erin heeft gezeten. Niet lang en enkel in de CVS.

De Linuxontwikkelaars bezweren dat dit de eerste keer is geweest dat iemand de Linuxbroncode stiekum heeft verandert, maar hoe weten wij dat zeker?

Paranoia-praat. Kom eens met harde bewijzen ipv FUD. Het zou onverstandig zijn dit te verzwijgen omdat dse bron open is. Wordt het verzwegen en iemand komt er achter, dan hebben de ontwikkelaars een groot probleem. Hun vertrouwen is dan immers geschaad.

Overigens dit bovenstaande itt tot proprietary software. Want hoe lang heeft de NSA backdoor erin gezeten? En hoe lang de backdoor in Borland
InterBase?

NSA info o.a. hier http://cryptome.org/nsa-sabotage.htm en algemeen bekend mbt Windows

http://slashdot.org/comments.pl?sid=84891&cid=7404358
Hier staat info over beide backdoors. Bij Free software is het risico vele maanden kleiner, omdat de bron door de hele wereld bekeken kan worden, het development process open is, en omdat de individuen in de hele wereld andere belangen hebben itt proprietary software.

Er staat vrijwel onmogelijk, dus ze sluiten het niet uit!

Stukken meer vrijwel onmogelijk dan in proprietary software. Het is ook vrijwel onmogelijk dat de wereld morgen vergaat. De kans bestaat, de atoomwapens staan klaar. Maar die kans nemen mensen voor lief; zo ook hier. Ik snap niet waarom je hier zo op mierenneukt terwijl het relatief gezien stukken veiliger is dan proprietary software.

Waar het mij om gaat, is dat niemand het probleem serieus lijkt te nemen.

Ik snap niet waar je dit uit kunt concluderen. Waar blijkt dat uit? Het is nou eenmaal onmogelijk om 100% veilig te zijn. Dat is realisme. Het is pas liegen wanneer je anderen claimed 100% veilig te zijn. Dat is niet realisties. Ten tweede gaat McVoy een aantal verbeteringen in het systeem aanbrengen (let wel hij doet dit uit vrijwillige basis in bedrijfstijd, hij runt immers het bedrijf achter BitKeeper; dus dat is een mooi iets imo, hoewel ik BK licentie niet cool vind).

Het is niet uitgesloten dat er al eerder backdoors in Linux zijn ingebouwd.

Afgezien van de definitie backdoor waar we uren over kunnen discussieren geldt hetzelfde voor elk ander OS. Hoewel een proprietary OS als OpenVMS inzage in de code geeft; dat schept vertrouwen.

Zelfs al is dit onwaarschijnlijk, feit is dat niemand kan garanderen dat er geen andere backdoors zijn.

Dat kan niemand. Face it.

[Verwijderd]

Ze zijn er helemaal niet "toevallig" erachter gekomen, want er lopen op VERSCHILLENDE servers de tree's en als er iets veranderd wordt worden ze met elkaar vergeleken, dus ze zijn altijd op de hoogte van veranderingen... En de kernel code wordt altijd door de opperhoofden nagekeken voor een stable versie...

En moeten ze zeggen dat het onmogelijk is? Want geen 1 beveiliging is 100% secure. Door de reeks beveiligingen is het 99,99% secure of iets dergelijks..

Ohja, al kwam het door een release heen (al is het een development release) dan zijn er alsnog weet niet hoeveel programmeurs die het dan zien.. Volgens mij vergis jij je ernstig in de grootte van de open source community. Want al die grote distro's kijken de kernel ook aan want die passen ze ook wel eens aan...

[Verwijderd]

Gelukkig is het iemand opgevallen dat de code was veranderd, want als dat niet was gebeurd was de backdoor waarschijnlijk heel lang onontdekt gebleven.

Als het binnen vierentwintig uur al ontdekt is door iemand, dan geeft dat toch alleen maar aan hoe frequent de kernel code negekeken wordt? Volgens mij betekend het dus dat deze fout echt wel door iemand anders zou zijn uitgevonden als het niet al zo snel door deze persoon gevonden was.

[Parody]

Nou ja, het was een soort van botje die rare dingen detecteert. In dit geval ging het om bijbehorend CVS commentaar dat niet voldeed aan de regeltjes.

[YaPP]

Daarvoor moeten we Larry McVoy en Linus Torvalds op hun woord geloven.

Linus Torvalds heeft de eindverantwoording voor de kernel. Hij bepaald welke patches in de kernel terecht komen, en welke hij wijgerd! Er zit een heuze hierarchy in de ontwikkeling, en je kan niet zomaar even iets in de officiele tree proppen.

Daarnaast is dit probleem gevonden door de BitKeeper software...! en dat is niet de enige beveiliging aan de code.

[Pietervs]

Het feit dat er een backdoor (of poging daartoe) wordt gevonden in Linux is natuurlijk niet fijn. Maar laten we even niet vergeten, dat alles wat me Linux te maken heeft (en met name negative berichten erover) in de pers enorm opgeblazen wordt.
Kortom: ja: er was een poging ondernomen om Linux te compromitteren, maar nee, de soep wordt niet zo heet gegeten als opgediend, want de Open Source gemeenschap heeft zijn (haar?) kracht weer eens bewezen...

[ArnoudJ]

Ik denk dat je dit bericht ook niet echt als negatief t.o.v. Linux moet zien. Natuurlijk is het vervelend dat er mensen zijn die zoiets proberen, maar de Linux gemeenschap toont aan dat ze zulke pogingen goed af kunnen slaan en het niet in de doofpot proberen te stoppen. En ze leren van hun fouten, hoewel de poging vergeefs was en op deze manier nooit succesvol had kunnen zijn proberen ze toch te voorkomen dat iemand in de toekomst nog eens zo'n soort poging kan wagen.

[GreeTz]

Dit is mijns inziens de voordelen van een open source gemeenschap, ze zijn ook open naar de buitenwereld toe wanneer er zo iets gebeurt. Je hoeft er niet op te rekenen dat dit door een grote speler op de makrt ook gedaan was wanneer er bij hun zoiets ontdekt was. Geeft mij in ieder geval iets meer vertrouwen in zo'n gemeenschap...

[ArnoudJ]

En dit is tevens ook de kracht van de open source gemeenschap. Op dit moment zijn er waarschijnlijk duizenden mensen aan het denken over hoe voorkomen kan worden dat zoiets in een iets ernstigere vorm voor kan komen. De kans dat daar een paar goede ideeen uit rollen is behoorlijk groot. Een commercieel bedrijf kan zich niet veroorloven om hier duizenden mensen op te zetten.

[heraut]

Dit is en blijft het nadeel van niet-commerciele software. Er doen zoveel mensen aan mee, de hele organisatie is op zich al een enorme operatie.

Heel fijn dat er wereldwijd duizenden programmeurs en scriptkiddies meewerken aan wat straks bedrijfskritisch ingezet gaat worden, erg prettig zou ik me er niet bij voelen

[Verwijderd]

Wat je hier meld is redelijk onzinnig.
De hele kernel word dan wel opgebouwd door zeer veel programeurs en er werken idd onzettend veel mensen aan.

Maar voor de uiteindelijke kernel tree zijn maar een zeer klein groepje mensen verantwoordelijk.
Die de tree dan ook konstant in de gaten houden.
Het is echt niet zo dat je maar wat raak kunt patchen.
Als je wat wilt toevoegen dien je hier normaal gesproken een verzoek voor in en je krijgt dan wel of geen toestemming om de kode te gebruiken.

En als je dan goed gelezen had, dan had je ook meteen gelezen dat deze backdoor nog niet eens in de officieele kernel zat maar in een stap daarvoor.

Uiteindelijk was de beveileging dus uitstekend.
En is de slechte kode uit de kernel tree gehalld voordat het ook maar iets kon aanrichten.

[SED]

Dat laatste is natuurlijk niet juist!
Vooral bij Linux aanhangers is een sterke neiging de meest recente build te installeren. Deze backdoor zit dus waarschijnlijk al in heel wat computers verwerkt en alleen de definitieve releiase is er vrij van..
Backdoors die gevonden worden kun je verwijderen. degenen die niet ontdekt zijn kun je namelijk ook niet verwijderen.
Open source heeft wel degelijk dit gevaar in zich net zoals commerdiele programmas dat hebben.
De kick om een backdoor in Linux te bouwen maakt je onsterfelijk en het zal dus beslist gebeuren en mogelijk is het reeds geimplementeerd.

Geen enkel OS is aboluut veilig. Juist als je dat denkt creer je een onveilig systeem.
Voorbeeld: laats kwam er iemand met een Linuxserver die hij gewoon aan het netwerk wilde hangen. Toen geeist werd deze te scannen op virussen, bedrijfspolicy voor alle soft en hardware, was dat volgens hem niet nodig want Linux was zo veilig.
Dat soort onzin wil ik juist bestrijden!

[The Noid]

En wanneer werd de backdoor in interbase gevonden die er rond '95 ingestopt was door een medewerker van Borland?
Juist... pas toen interbase opensource werd in iirc 2001

In opensource software is het veel moeilijker om een backdoor geheim te houden.

[Verwijderd]

Jij bent wel naief moet ik zeggen, omdat het niet commerciele software is en er veel mensen aan werken vertrouw jij je opensource niet. Een bedrijf zoals MS heeft ook 1000-en werknemers deze kunnen ook kwaadwillende code er in stoppen (kijk maar eens naar de vele easter eggs in office) deze zijn niet eens ondershcept door MS, dit had OOK kwaadwillende code kunnen zijn

[Verwijderd]

vele easter eggs in office

Easter eggs worden geimplementeerd als grap. Het is dus niet zo dat Microsoft een agreement met lucifer heeft afgesloten om die flipperkast by example erin te stoppen.

Het klinkt gestoord maar zo denken mensen wel degelijk.

[Gwaihir]

Easter eggs zijn inderdaad onschuldig, doch wat g.krist (denk ik) duidelijk probeert te maken is dat in MS software vele code zit die er niet thuis hoort. Code die door een enkel individu of een kleine groep daar is geplaatst en vervolgens onopgemerkt is gebleven. Zo'n individu zou daar dus vrijwel zeker ook kwaadaardige code kunnen plaatsen die onopgemerkt zou blijven.

[Alex]

Wat je zegt wijst naar de zwakte van Open Source: het werken met vele mensen, op grote afstanden. Mensen die elkaar niet kennen, die eigen gewoontes hebben, die anders tegen zaken aankijken.

[Verwijderd]

Ik heb dit voorbeeld ook gelezen in het boek 'The Hackers Guide'.
De managers e.d. in kwestie wisten niets van deze achterdeur af, nou als je zoiets enorms als een flight sim langs de code controle kan sneaken dan lukt dat ook met een valse privilege-check.

[Verwijderd]

Die is mooi zeg

Zwakte ivm werken op grote afstanden, mensen die elkaar niet kennen, wat een gebral zeg.

Denk je nou werkelijk dat die kernelhackers zeggen, nou jochie, ik ken jou niet, maar jij mag wel even pielen met onze cvs-tree, ga je gang, ben je nou helemaal op je achterhoofd gevallen.

Reken er maar op dat het professionele programmeurs zijn, ze kennen mekaar goed tot zeer goed.

Hmmmmmmmmmm, zou misschien hierdoor het telewerken niet goed van start gaan, afstanden, je mag zomaar binnen komen om een documentje, email, etc.... veranderen ???

[Verwijderd]

Dus als een paar bezopen programmeurs bij MS een flighsimulator in Office inbouwen zegt bill gates: Jaa hoor, 's prima. Ik wed dat ie er niets van wist.

[Ruuddie]

De programmeurs denken dat iemand heeft ingebroken in één van de systemen waar de programmatuur staat en ter plaatse de code heeft aangepast.

En iedereen altijd maar zeuren dat Windows bakken zo slecht beveiligd zijn.
Degenen die het 'veilige' Linux hebben ontworpen, worden zelfs gehackt op hun eigen OS (ik neem niet aan dat ze servers met IIS hebben draaien ). En als er iemand is die het OS goed kent, zijn het de ontwerpers van de kernel zelf wel.
Ik bedoel dit niet als flame, maar alleen om mensen duidelijk te maken dat ALLES te hacken is, en dat het dus logisch is dat een IIS bak vaker wordt gehackt dan een Linux bak, omdat Windows nog altijd op 95% of zo van alle PC's staat.

[kodak]

Als je goed leest sluiten de Kernel heren al bijna uit dat het hier gaat om een inbraak op de server, maar eerder een poging om direct de toegankelijke cvs tree te wijzigen.

Je opmerking dat alles te hacken is vind ik een beetje vreemd argument. Niemand heeft het erover dat Linux onbreekbaar en echt veilig is. Dat Windows bakken zo slecht beveiligd zijn doet er helemaal niets aan af aan welk voorval dan ook. De feiten spreken voor zich. Het grote voordeel is nmm dat je van MS echt nooit te horen krijgt of er een beveiligingsbreuk was en al zeker niet op de broncode van hun software. Daarintegen wordt het bij de kernel juist direct kenbaar gemaakt zodat iedereen weet waar hij/zij aan toe is. Dat maakt het zoals nu blijkt een stuk betrouwbaarder als het gaat om het kunnen vertrouwen op de veiligheid van de software.

[Verwijderd]

dat het dus logisch is dat een IIS bak vaker wordt gehackt dan een Linux bak, omdat Windows nog altijd op 95% of zo van alle PC's staat

kweenie hoor ? heeft 95% van alle PC's IIS ? wat een onzin.. en het apache aandeel is veel groter dan 't IIS aandeel heb je laatst nog bevestigd kunnen zien

[Verwijderd]

Ik denk eerder dat je de "onveiligheid" bij de accountgegevens moet zoeken dan bij het besturingssysteem. Ofttewel: een systeem is zo veilig als de sekuurheid van de gebruiker op bijvoorbeeld zijn log-in credentials.

[CARman]

Zelfs als een webserver een Windowsbak is, wil dat niet betekenen dat er ook IIS op draaid hoor

Zelf draaien we onder Windows met een Apache webserver en een goede firewall. En nou weet ik geen exacte getallen, maar IIS maakt dacht ik nog geen 50% deel uit van alle webservers.

[Mental]

wat een onzin weer dit.. lees je een bericht over de ontwikkeling van de LINUX kernel (niets met windows te maken dus) .. krijg je dit soort praatjes weer.. een kernel heb niets te maken met een exploit gebruiken in een webserver whatsoever.. hou je praatjes voor je en stop ze in een 'linux is gemeen! ik ga me pappie halen!' topic.. dit is echt supersneu.

Ik ben niet eens een aanhanger van unix / linux / bsd whatever, gewoon een windowser.. maar word er nu echt schijtziek van dat dit onderwerp terug komt bij ELK topic die ook maar enigzins over unix / linux / bsd en windows gaat.. echt supersneu.

Kom op mensen.. modereer deze reactie maar de grond in.. maar ben ut zat. denk eens na voordat je dat soort onzin plaatst.. het heb totaal geen nut om dat soort troep te lezen wat jij post.

dank u voor de aandacht

(dit heb ook geen nut om te lezen, maar is puur uit frustratie.. vandaar)

[Admin edit] Let een beetje op je taalgebruik! ajb [/Admin edit]

edit:

sorry voor de inderdaad wat overvloedige 'sfeermakende' woorden hehe.. maargoed, zal dr even aan denken volgende keer.

Trouwens.. zie de moderatie van mijn post.. lang leve de verdeelde wereld op tweakers.net
Nu weet ik weer waarom ik hier bijna nooit wat post

[H!GHGuY]

wie zegt dat Linux veiliger is dan Windows??

de enige reden waarom mensen dit denken, is omdat M$ wegens de positie die ze aannemen op de markt zichzelf met een rode lap omhult voor iedereen die slechte bedoelingen heeft. Ook omdat zoveel mensen een M$ OS hebben is dit voor mensen met slechte bedoeling een zekerheid, dat de kans dat ze slagen in hun 'kwade doelen' groter is dan wanneer ze iets schrijven voor Linux. De 'markt' voor exploits enz kan je gewoon vergelijken met de markt voor andere software, en zeg nou zelf, er IS meer software voor Windows dan voor Linux...

[Aetje]

En iedereen altijd maar zeuren dat Windows bakken zo slecht beveiligd zijn.
Degenen die het 'veilige' Linux hebben ontworpen, worden zelfs gehackt op hun eigen OS (ik neem niet aan dat ze servers met IIS hebben draaien ). En als er iemand is die het OS goed kent, zijn het de ontwerpers van de kernel zelf wel.

Mja, password raden kan natuurlijk altijd. Maar 't geeft wel de mentaliteit aan:
Windows: Bug aangemeld, in die service pack over 2-12 maandjes lossen we 't op.
Linux: Bug gevonden? Oeps, ff wijzigen... klaar.

[Verwijderd]

Is geen kwestie van slecht beveiligen, uiteindelijk kom je overal wel in.
Maar het gegeven dat deze hacker het nodig vond om een backdoor in te bouwen geeft al aan dat hij het onmogelijk middels een exploit had kunnen doen zoals zo makkelijk bij Windows het geval is.
Was Linux net zo onveilig als Windows geweest, dan was deze poging niet eens nodig geweest.
Dus in feite bevestigd deze sabotage de stabiliteit en veiligheid van Linux als OS.

edit:
Sjezus, er hoeft ook maar één idioot te flamen dat het nergens over gaat en er wordt maar rüchtsichtlos iemand weggemod.
Get a life, stel chagrijnen.

[Tomatoman]

Is geen kwestie van slecht beveiligen, uiteindelijk kom je overal wel in.

Zullen we dan maar meteen stoppen met beveiligen?

Maar het gegeven dat deze hacker het nodig vond om een backdoor in te bouwen geeft al aan dat hij het onmogelijk middels een exploit had kunnen doen zoals zo makkelijk bij Windows het geval is.

Een zonder zijn weten ingebouwde backdoor is ongeveer het ergste wat een ontwikkelaar kan overkomen. Dat zegt helemaal niets over Windows, enkel over een zwakke plek in het Linux-ontwikkelingsproces.

Dus in feite bevestigd deze sabotage de stabiliteit en veiligheid van Linux als OS.

Mag ik je feliciteren met de kromste redenering van het jaar?

[Mental]

Was Linux net zo onveilig als Windows geweest, dan was deze poging niet eens nodig geweest.


en deze woorden hebben natuurlijk niets met microsoft te maken

[Verwijderd]

wat een geldingsdrang hierzo...

Afijn.. om dan de rel helemaal los te laten, think about this.. als een malicous coder in Linux wat probeert weg te cvs'en in een comit dan is er een behorlijke waarschijnlijkheid dat het gauw ontdekt wordt omdat de code openbaar is en er redelijk wat volk doorheen bladert, laat staan studenten die de kernel als studie onderdeel krijgen .. Maar als een malicious coder iets in een propietary kernel wegbakt.. dan kom je het nooit te weten omdat o.a. MS nooit hun code ten toon stellen en het dus niet ondergeschikt is aan peer review...

[Glashelder]

en hiermee zijn onvermogen bewijst om gebruik te maken van fouten in de kernel

Je kan het jezelf ook gewoon makkelijker maken

heeft niets met onvermogen te maken

[Ruuddie]

Uuhm, een goede beveiliging is als je zegt dat alleen dat en dat IP adres je server op mogen, zoals het hoort

[jep]

Jawel hoor. Weet je hoe het werkt? 1 Kant op. Data moet voor een connectie namelijk ook terug, dat komt niet aan als 't spoofed is.

[Verwijderd]

Zeker nooit van IP spoofing gehoord?

[Verwijderd]

Als die het ontkent en het gewoon niet is kan hij altijd nog gesniffed zijn. In de USA kan de CIA iedereen zomaar sniffen dus da's dan een peuleschil.
En dat ze dan vervolgens zelf iedere Linux bak met die nieuwe kernel kunnen 0wnen.

*paranoiatheorie ten top*

[Pietervs]

In de USA kan de CIA iedereen zomaar sniffen dus da's dan een peuleschil.
Alsoft wachtwoorden zomaar over het internet rondvliegen. Zeker zo'n programmeur zal toch wel z'n maatregelen genomen hebben...

[boner]

nee dat kan nou net ff niet. Amerikanen mogen alleen niet amerikanen sniffen. Er is wel een privacy regel maar alleen voor amerikanen onderling.

[Verwijderd]

Linus is toch een Fin?


maar euhh. wat beveiliging betreft Linus beschrijft het zlef erg goed...as usual...


"One of them is that if somebody were to actually access the BK trees directly, that would be noticed immediately: when I push to the places I export from, the push itself would fail due to having an unexpected changeset in the target that I don't have on my local tree." He went on to add, "I think it's telling that it was the CVS tree and not the BK tree that somebody tried to corrupt."

[Juicy]

GPG encryptie

Good Pretty Good ipv Pretty Good Privacy ?!

[Chemist]

GPG is de open source versie van PGP ...

[s463042]

Inderdaad... de GNU Privacy Guard.

[Verwijderd]

Zie hier het voordeel van Open Source. Hoewel deze poging onderschept is, is het natuurlijk onduidelijk hoevaak het wel gelukt is om een backdoor in te bouwen.

Mensen beschuldigen microsoft wel van het implementeren van backdoors in hun OS voor de CIA maar is dat met de linux kernel ook gebeurd zonder dat iemand dat weet. (met misschien de uitzondering van Linus himself).

BTW: op naar de 100+ reacties op dit bericht

[Verwijderd]

Wat lul je nou eigenlijk?

Het voordeel van Open Source blijkt daar maar weer heel duidelijk, Iedereen kan precies de veranderingen in de broncode nagaan. Dus het inbouwen van een backdoor moet heel obscuur gemaakt worden (waar dit een redelijke poging toe was)... Maar echt lukken zal het niet.

En bij Microsoft kun je dit niet zo makkelijk, gewoon om het simpele feit dat het ontwikkel proces niet via een publieke server gaat maar op ms eigen netwerk. Hun ontwikkel proces is niet open, dus het is moeilijk om uit te vinden om welke developers het gaat etc.

reactie op wumpus:

Hehe, ja je hebt gelijk

Maargoed, Microsoft heeft intern ook review procedures dus zou ook niet zo'n ramp zijn... hoop ik voor ze

[Verwijderd]

Hun ontwikkel proces is niet open, dus het is moeilijk om uit te vinden om welke developers het gaat etc.

Dan nog, echt kwaadwillenden zullen dit wel achterhalen. Remember halflife 2?

[Verwijderd]

Wat linux zelf al zegt er zijn meerdere kernel trees (op verschillende computers), die geregeld met elkaar vergeleken worden. Alle toegevoegde code wordt nauwkeurig nagekeken. Je *kan* gewoonweg geen code toevoegen zonder dat iemand het merkt. Ook niet als je er inbreekt of het wachtwoord van een van de programmeurs kent.

Het kan best zijn dat dit is gedaan om een van de programmeurs in diskrediet te brengen trouwens (!) dit soort aanvallen zie je steeds vaker, dat er een hack wordt uitgevoerd om iemand de schuld te geven ("framing")

[sugarcube]

het lijkt misschien moeilijk op het eerste zicht, maar in *theorie* is het best mogelijk om een achterdeurtje te bouwen.

ken thompson (ja een van de pioniers) heeft 20 jaar geleden al een scenario beschreven hoe je bijna onvindbare achterdeurtjes kan inbouwen in open source producten.

zie http://www.acm.org/classics/sep95/

in dit artikel toont ken thompson aan dat de enige manier om 100% zeker te zijn dat je geen backdoor hebt, is door alle componenten van je systeem van de grond op te bouwen (zelf chip design, zelf compiler schrijvern, etc...). Van zodra je op een andere tool vertrouwd (zelfs open source) bestaat de mogelijkheid dat er een backdoor opduikt zonder dat je het ziet. Zie het artikel zelf voor meer gedetailleerde uitleg.

de meeste specialisten (inclusief ken thompson) zijn echter van oordeel dat het zeer onwaarschijnlijk is dat iemand in de praktijk op deze wijze een backdoor heeft ingebouwd.

als je echt paranoia bent, moet je er echter rekening mee houden.

[a.prinsen]

met zelf bedoel je dus 1 persoon! want anders weet je het ook niet zeker..


en andere mensen die er mee moeten werken moeten JOUW dus vertrouwen dat jij er geen achterdeurtje bewust of onbewust in hebt gelaten!

[zomertje]

Misschien zelfs om Linux in diskridiet te brengen... of misschien voor zichzelf.

reactie op DrWolfenstein:
Voor zover ik kan zien doen de programmeurs zelf ontzettend hun best om de boel te beschermen (incl Linus zelf) Lees daarom ook de mailwisseling eens goed. Daarin staat de uitleg over de verschillende trees

[SED]

Ik zit in dit kader te wachten op de eerste beschuldiging richting Microsoft.
Die moet vast komen dat kan niet missen

[hardwareaddict]

Deze hack is niet gedaan om een programmeur in diskrediet te brengen zo vermoed ik. Deze hack is gedaan om er later van te profiteren. Het zal ook de enige hack niet zijn. Dat geblaat over hoe goed de development tree van linux is is natuurlijk theoretisch geblaat.

Als een bepaald groot amerikaans bedrijf, die het gros van de wijzigingen doen in die trees, een backdoor in moet bouwen van een bepaalde soort instantie, dan doen ze dat zonder dat iemand er snel achterkomt.

Daar komen we niet snel achter.

[Brons]

Bij de linux kernel kan iedereen het zien, omdat het open source is.
Dus het maakt zeker wel uit of er een backdoor in Linux of in Windows zit.

[wica]

even voor de duidelijkheid. Deze backdoor is niet in de produkte code gekomen! Deze tree was nog in ontwikkeling.
En het mooiste nog. BK heeft deze illegale verandering ondekt

Daar naast.
Is 't een mooi stukje code.
1. omdat je er normaal over heen leest.
Het leek er namelijk op of die vergeleek. Of de uid root is. Maar in plaats daarvan zette die uid op root
2. De code hield er rekening mee dat gcc normaal gesproken een fout melding zou geven. Hier was dus ook wat aan gedaan.


En zoals 't hierboven al gezegt werd. Is deze code waarschijnlijk via cvs binnen gekomen.

Ik ben blij dat de OpenSource de volgende regel gebruikt. "Vertrouw niemand".

[Verwijderd]

Ik ben blij dat de OpenSource de volgende regel gebruikt. "Vertrouw niemand".

Hmm. Interessant punt. Ik denk dat Free software (die term gebruik ik liever; substitate at will) op bepaalde punten wel degelijk gebaseerd is op vertrouwen. De openheid schept m.i. juist vertrouwen. Voorbeeld: vertrouw jij als gebruiker Free software ontwikkeleraars niet? Waarom draai je het dan?

edit:
wumpus: ben ik helemaal met je eens behalve dat ik vind dat Free software betrouwbaarder is dankzij de openheid. Mbt. voedselindustrie heb ik na het lezen van een aantal documenten & gebeurtenissen maatregelen getroffen. Een product waar geen ingredienten ed. op staan, bijv, vind ik minder betrouwbaar dan een product waar die info wel gegeven wordt en waar iemand de ingredienten ook zelf kan controleren bij bijv open dag (puur hypotheties)

[Verwijderd]

De reden waarom ik die ontwikkelaars vertrouw (op het moment dat ik Linux ga gebruiken) is het feit dat ze een vertrouw niemand policy er op na houden.
Ergens in het systeem moet dat gebeuren. Het voordeel met open source is dat ik mee kan kijken (door die CVS tree door te pluizen & vergelijken met de source die te D/Len is) of de mensen die volgens mij paranoide gedrag moeten vertonen dat ook doen.

En mocht je dan als nog de ontwikkelaars niet paranoide genoeg vinden (of ze niet vertrouwen) kun je altijd zelf de code door gaan ploegen of dat laten doen door een of meer personen die je wel vertrouwt.

Stukken beter als je vingers kruisen en hopen dat ontwikkelaar X, van wie je een licentie moet ondertekenen om je eigen computer aan te mogen zetten, geen rotgeintjes in de software heeft gestopt.

[YaPP]

daar komt nog bij dat je altijd een MD5 checksum kan downloaden van een site, en die dus vergelijken met de source die je elders download.

je weet altijd of de intrigriteit bewaard gebleven is.

[Verwijderd]

Het draaien van closed source software is evengoed gebaseerd op vertrouwen. Het gebruiken van elk apparaat, stuk software, of stuk infrastructuur is gebaseerd op vertrouwen.
Als je dat bij software al eng vind, en lekker paranoide bent, denk dan eens diep na over bijvoorbeeld de voedselindustrie ...
Edit: Een analogie op backdoors daar is namelijk dat je nooit op alle gifstoffen kan testen, zeker niet diegene die op de lange-termijn werken.

[Guru Evi]

Gelukkig dat het Open Source is, zodat iedereen die kon zien. En als je eens kijkt naar de veranderde code (ook te zien op kerneltrap) dan zie je eigenlijk dat het nooit ging werken.
Het probleem is met Microsoft, dat je diezelfde fouten die ooit ingebouwd zijn, niet kunt zien. Bij Linux en afgeleiden kan iedereen zien als er een backdoor in het programma zit of niet.

[Rembert]

Je moet dan wel de kennis in huis hebben om de broncode door te nemen. Het controleren van code is niet weggelegd voor elke jan-op-de-hoek. Daarnaast zijn backdoor proggies ook heel slim te programmeren zodat je ze nauwelijks kent - kijk maar eens goed naar de broncode van allerlei virusjes. Pas na gedegen spitten zie je dat er misschien ook een backdoor wordt geplaatst, of meldingen worden geschreven op IRC servers enz. En als het spitten in relatief simpele viruscode al een hele opgave is, dan is het spitten door een OS als windows dat helemaal.

Juist doordat de open source gemeenschap hiervoor oplossingen heeft gevonden, heb ik veel meer vertrouwen in open source software. Het is misschien niet allemaal state-of-the-art maar wel betrouwbaarder, (paranoia mode) al moet je dan wel de open source project officers op hun woord geloven... zitten hier misschien ook mollen / undercovers tussen? (einde paranoia mode)