パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

FBI、OpenBSDのIPSEC開発者に金銭を送りバックドアを仕込んでいた?」記事へのコメント

  • Damien Miller 氏によれば、暗号そのものは恐らく安全であろう、とのことです。
    http://permalink.gmane.org/gmane.os.openbsd.tech/22559 [gmane.org]

    何かを仕込むとすればネットワーク関連のコードで、
    鍵データがパディングに混入するようにしたり、
    秘密データに隣接する部分を読むとき「うっかりはみ出す」ようにしたり、
    mbuf を「うっかり再利用する」ようにしたり、
    タイミング攻撃によるサイドチャネル (2000年当時はあまり知られていなかった) を用意したり
    といった可能性が思いつく、と書いています。

    そのうちの幾つかは対策が取られていますが、
    すべて疑念を晴らすには地道なコード監査以外ないようです。

    • by Anonymous Coward

      フレームの元だけどこのバックドアも含めてソースが配布されていたのだろうからオープンソースならコード監査が出来るから安全なんて神話だよね。

      • Re: (スコア:2, すばらしい洞察)

        by Anonymous Coward

        公開されているから安全というのは短絡的だと思う。でも、オープンソースだからこそ、ライセンス面などで安全性の検証可能性のハードルが低いとはいえる。

        ソースの公開によって確保できるのはコードの検証可能性であり、この検証可能性によって安全な利用への道が”担保”されるだけで、保証はない。しかし、今回の指摘によって誰しもが当該コードを検証することは”可能”である。(クローズドソースなら契約上、検証さえできない場合がある。)少なくとも、検証を必要とする人間・組織がコードを直接検証できることはオープンソースの強みだろう。

        もちろん検証する能力や資源は別の問題としてあるが、これはクローズドソースでも当てはまる。

        • Re: (スコア:2, すばらしい洞察)

          >オープンソースだからこそ、ライセンス面などで安全性の検証可能性のハードルが低いとはいえる。

          検証自体のハードルは低いかもしれない。
          でも、その検証の結果、まずいとなった場合、
          それに対応できるか?というのが、結構、面倒だと思うよ。

          細かなパッチ程度で対応できたとしても、それが正式にコンパイル
          され配布されるためのテストを受けて、さらにいくつもの配布先で
          対応するわけだろ?

          >少なくとも、検証を必要とする人間・組織がコードを直接検証できることはオープンソースの強みだろう。

          そういった検証を自分の責任でやらなあかんのかよ、
          しんどいこった...というユーザの方が多いと思うね。
          プロプライアリティなシステムは、その面で楽だよな..
          という風に考えられている様に思う。

          どっちにせよ、バックドアだろうが、問題の数とそれを
          潰す工数が少ない方が好まれるとは思うけどね。

          • send-pr(なり)すればいいだけだと思うんですけどそうではないのですか? 1日以内に開発者が片付けてくれます。
            これがMSだったら、PRしても「リリースは約束できない」とだけ回答が帰ってきて、脆弱性が残ったままとなりZero Day Attackを許してしまうだけではないのですか?
            6 月上旬にGoogleの研究者のTavis Ormandy氏がWindows XPのゼロデイ脆弱性を公開した際にMicrosoftから非難を受けているわけですが。

            • >1日以内に開発者が片付けてくれます。

              正式なパッチとしてあがってきて、それの信頼性とかを
              確認するのに1日で済むとしたら、それは凄いね。
              ところで、結構、動作確認とかって時間がかかるのだけど、
              世界中の多くのシステムでそれを1日でやりとげる機構ってあるわけですね。
              教えて欲しい所です。

              もちろん、開発者が実装者/運用者の多くと連携をとって
              やってくれるわけですよね?

              そうでなければ、「あ、こいつもなんかやっている可能性あるな、
              じゃ、少なくとも今まで動いてきた前のでいくね」ということになる。

              それほど実際のサービス提供しているシステムでの稼働確認を
              1日やるのか?少なくとも1日程度しか動かしていないなら、
              相手にされない時があるからね。

              親コメント

物事のやり方は一つではない -- Perlな人

処理中...