パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

FBI、OpenBSDのIPSEC開発者に金銭を送りバックドアを仕込んでいた?」記事へのコメント

  • Damien Miller 氏によれば、暗号そのものは恐らく安全であろう、とのことです。
    http://permalink.gmane.org/gmane.os.openbsd.tech/22559 [gmane.org]

    何かを仕込むとすればネットワーク関連のコードで、
    鍵データがパディングに混入するようにしたり、
    秘密データに隣接する部分を読むとき「うっかりはみ出す」ようにしたり、
    mbuf を「うっかり再利用する」ようにしたり、
    タイミング攻撃によるサイドチャネル (2000年当時はあまり知られていなかった) を用意したり
    といった可能性が思いつく、と書いています。

    そのうちの幾つかは対策が取られていますが、
    すべて疑念を晴らすには地道なコード監査以外ないようです。

    • by Anonymous Coward

      フレームの元だけどこのバックドアも含めてソースが配布されていたのだろうからオープンソースならコード監査が出来るから安全なんて神話だよね。

      • Re: (スコア:2, すばらしい洞察)

        by Anonymous Coward

        公開されているから安全というのは短絡的だと思う。でも、オープンソースだからこそ、ライセンス面などで安全性の検証可能性のハードルが低いとはいえる。

        ソースの公開によって確保できるのはコードの検証可能性であり、この検証可能性によって安全な利用への道が”担保”されるだけで、保証はない。しかし、今回の指摘によって誰しもが当該コードを検証することは”可能”である。(クローズドソースなら契約上、検証さえできない場合がある。)少なくとも、検証を必要とする人間・組織がコードを直接検証できることはオープンソースの強みだろう。

        もちろん検証する能力や資源は別の問題としてあるが、これはクローズドソースでも当てはまる。

        • Re: (スコア:2, すばらしい洞察)

          >オープンソースだからこそ、ライセンス面などで安全性の検証可能性のハードルが低いとはいえる。

          検証自体のハードルは低いかもしれない。
          でも、その検証の結果、まずいとなった場合、
          それに対応できるか?というのが、結構、面倒だと思うよ。

          細かなパッチ程度で対応できたとしても、それが正式にコンパイル
          され配布されるためのテストを受けて、さらにいくつもの配布先で
          対応するわけだろ?

          >少なくとも、検証を必要とする人間・組織がコードを直接検証できることはオープンソースの強みだろう。

          そういった検証を自分の責任でやらなあかんのかよ、
          しんどいこった...というユーザの方が多いと思うね。
          プロプライアリティなシステムは、その面で楽だよな..
          という風に考えられている様に思う。

          どっちにせよ、バックドアだろうが、問題の数とそれを
          潰す工数が少ない方が好まれるとは思うけどね。

          • by Anonymous Coward

            性急に検証しなければならない、そして検証できたなら管理下にあるPCにはパッチ当てればいいんじゃない?責任の範囲はその範囲でしょ。

            一般ユーザーというより管理者的な立場からの視点だけど、めんどくさいと思うユーザーはオープンだろうが、クローズドだろうが他人任せなんだからほっといていいと思う。

            • by bit (41221) on 2010年12月16日 16時53分 (#1874984)

              >性急に検証しなければならない、そして検証できたなら管理下にあるPCにはパッチ当てればいいんじゃない?責任の範囲はその範囲でしょ。

              その緊急度の検証は?
              そういった判断をする必要があるわけなんだよね。

              まさに、各自、ばらばらになっちゃうわけである程度の規模では使えないOSってことになるのだけどね。

              >めんどくさいと思うユーザーはオープンだろうが、クローズドだろうが他人任せなんだからほっといていいと思う。

              そして、品質としては保証されないので、「ま、動いた実績があがったらあたてみるかな?」というのが、運用や保守管理者の考えになるわけなんだよね。

              親コメント

計算機科学者とは、壊れていないものを修理する人々のことである

処理中...