Newsgroup: it.comp.sicurezza.varie
Titolo: Software opensource da... NSA

 
Non è uno scherzo
 
https://code.nsa.gov/
 
 
e parecchia roba è, ovviamente, orientata alla sicurezza
 


Magari la NSA ha nascosto in questo sw backdoor o gabole analoghe (cosi' potrebbe censire gli user interessati)


(se una cosa e' gratis, allora il prodotto sei tu)


https://it.wikipedia.org/wiki/Open_source
 
 
-- 
gio


nascosto dove, nei sorgenti aperti? 
mi ricordi la figliola quando a due anni giocava a nascondino e per 
nascondersi si tappava gli occhi.

Migliaia e migliaia di righe di codice.
Te lo leggi tutto? Lo comprendi tutto? Sai esattamente cosa fa?
Puoi nascondere del codice embedded come vuoi, lo puoi crittografare dentro, chiamare esternamente, eseguire "se", o fingere che siano sviste, errori, se qualcuno ti sgama.

 sviste, errori, se qualcuno ti sgama.
 
mmmmh... "codice embedded"... "crittografare dentro"... sei sicuro di 
sapere di cosa stai parlando?

Ho detto quello che penso, non voglio mica convincere il mondo.
Il fatto che un programma sia di pubblico dominio non implica necessariamente che sia verificato e controllato, né che qualcuno si metta a tavolino a verificare rigsa per riga. Ma chi dovrebbe farlo? Chi ha tempo e denaro? Ragiona su questo. 
 
Lo studentello universitario per farsi la tesi? Può essere, ma se si controlla Un programma è già tanto. Oppure lo fai tu? L'hai mai fatto? 
 
Io conosco il c e qualche idea per rendere complessa o molto difficile la lettura di un sorgente ce l'ho. Immagino che gente che si occupa di sicurezza per mestiere, ne sappia ben più di me, e sia in grado di scrivere codice anche impossibile da capire. 
 
Infine, perché NSA rende di pubblico dominio questo sw? Hai presente l'andeddoto del sistema per pesare i polli? Te lo racconto. Un allevatore faceva molta fatica a pesare i polli a campione, per capire quanto mangime dargli. Prendere i polli e metterli su una bilancia era una gran fatica. Finché non si è deciso a mettere dei trespoli collegati ad una bilancia. I polli salivano istintivamente sui trespoli.
 
NSA pubblica il sw, il pollo lo usa e NSA lo profila, alimenta il suo datalake coi dati del pollo.
 
È una ipotesi,eh.
 

 Infine, perché NSA rende di pubblico dominio questo sw? 
 
ma perché non fai un giro? davvero. scopriresti che tutta questa 
dietrologia è davvero sprecata. 

nascosto dove, nei sorgenti aperti?
 
E' possibile. Non so di cosa parlino, quei sorgenti, ma in molti algoritmi di
cifratura la vulnerabilità non è evidente alla lettura, e può essere scoperta
solo con una attenta analisi algebrica.
 
Leonardo
-- 
 
"You all presumably know why" :-) :-(

 può essere scoperta solo con una attenta analisi algebrica.
 
mi verrebbe da dire però che tenendoli chiusi la vulnerabilità sarebbe 
nascosta assai meglio. cioè è un po' controintuitivo aprire i sorgenti 
apposta per nascondere i trappoloni.
 
comunque ho fatto un giretto mi pare roba easy, niente di che.

apposta per nascondere i trappoloni.
 
Non per nascondere i trappoloni, ma per rendere appetibile il codice.
 
E' vero che un codice crittografico closed source sarebbe più sicuro - un
po' come il computer spento dentro una colata di cemento - però siccome a
quel punto ben pochi lo userebbero... tocca scegliere fra due alternative
entrambe poco desiderabili.
 
Ho dato un'occhiata e in effetti non ho visto niente che potrebbe fornire
chissà cosa a chissà chi (ho la vaga curiosità di capire la differenza da
Locklevel a Sami, però 8-P ).


 e può essere scoperta solo con una attenta analisi algebrica.
 
Ma non solo; e qui parlo per esperienza diretta, un sw opensource
abbastanza complesso (diciamo svariati mega di sorgenti) potrebbe
contenere delle vuln/backdoor spalmate su vari moduli sorgenti e che,
non solo sono invisibili perchè il codice ad un esame appare
perfettamente corretto, ma perchè la "gabola" viene attivata solo al
verificarsi di una o più condizioni "trigger", condizioni che risulta
difficile riuscire a riprodurre anche usando il "fuzzing"
 
Tornando al codice di NSA, ho dato una rapidissima occhiata al progetto
chiamato "GoSecure"
 
https://github.com/nsacyber/gosecure
 
 
https://nsacyber.github.io/goSecure/
 
 
https://nsacyber.github.io/goSecure/documentation.html
 
 
ora, il progetto include un linux "minimale" e la vedo dura riuscire a
controllare che sia tutto "pulito", in compenso, l'idea di avere una
"chiavetta" RaspberryPI che, connessa ad un computer attivi una VPN
senza installare nulla sul computer in questione, non è malaccio :)
 
 

apposta per nascondere i trappoloni.
 
Il posto migliore dove nascondere qualcosa, bene, *molto bene*, è
proprio lì, in faccia, davanti a te. E magari anche sotto al naso.
 
-- 
Lex Tutor
L'Asilo Infantile di Bofhland® è un argomento che sarà oggetto
di un libro di prossima pubblicazione, quindi sto discutendo
di una questione che mi interessa per finalità di ricerca

codice? ma davvero davvero?
 
Mentre noi ne parliamo qua proprio adesso, Cina, Iran e Corea del nord
hanno già messo un esercito di loro scimmiette a controllare tutto.


>>>>  
http://www.bb2002.it
 :)  <<<<<
........... [ al lavoro ] ...........

 
forte :) (anche se molti sono semplicemente indentati in modo simpatico)