Newsgroup: it.comp.os.dibattiti
Titolo: cyberwar Stuxnet e sistemi operativi  opensource...

Permettetemi di semplificare la questione (ci sarebbero alcune osservazioni in piu' da fare),
immaginiamo ad esempio che il cyber command 
http://goo.gl/HlQSE
 ottenga la collaborazione  di canonical(o red hat) o qualsiasi altro 
team di sviluppo di una distribuzione ovviamente in via segreta senza che trapeli niente all'esterno,
e aggiunga del codice al kernel o ai pacchetti di base della distribuzione, lo compili e lo inietti come aggiornamenti vari.
Essendo open source teoricamente nei sorgenti si vedrebbe il codice perche' altrimenti ricompilando con gli stessi flag i pacchetti 
avrebbero hash diverso.
 
C'e' qualcuno che controlli tutti i pacchetti base per eliminare questa eventualita' al giorno d'oggi ? Non dico governi come la 
cina che si fanno la propria versione, ma qualcuno del mondo opensource.
 
E se il succitato cyber command  invece avesse solo al collaborazione di un team di sviluppo di un singolo software (alsalib , zlib 
qualsasi libreria vi viene in testa) chi lo pachettizza per le distribuzioni e' in grado di controllarlo ?
 
La domanda finale e' , il mondo open source che e' composto da molti soggetti ci tutela dalla malizia di qualcuno che vuole 
utilizzare l'installato per i suoi scopi?
 
 
Giulia

 in grado di controllarlo ?
 
Che sia possibile aggiungere codice ai binari la vedo assai dura.
Di gente (non necessariamente legata alle distribuzioni) che si
ricompila i package per le ragioni più svariate ce n'è una infinità;
IMHO l'operazione verrebbe sgamata in capo a qualche settimana al massimo.
 
L'introduzione di backdoor a livello di sorgente invece è decisamente
più plausibile, ed è anche già accaduta (o sospettata di accadere) in
passato.
 
In alcuni casi è stata "beccata":
 
http://kerneltrap.org/node/1584
 
 
In altri è rimasta paventata e "indimostrata":
 
http://seclists.org/fulldisclosure/2010/Dec/335
 


cina che si fanno la propria versione, ma qualcuno del mondo opensource.
 
Sì e no. C'è varia gente che lo fa, e si può fare la cosa automaticamente: i
pacchetti sorgente vengono scaricati, compilati nell'ambiente di test, e poi
confrontati con i pacchetti binari.
 
I sorgenti vengono analizzati (con strumenti automatici) e modifiche che non
corrispondano al changelog in genere sono ben visibili, specie perche' quasi
tutti i changelog hanno parecchia gente che li aspetta a gloria :-)
 
Ovviamente mi vengono in mente vari sistemi per aggirare questi problemi, ma
tutti richiedono un pacchetto "poco gettonato".
 
===
 
Un altro sistema, se avessi la budènza del cyber command, sarebbe di fare un
intervento in ditte come Intel.
 
Se ci pensi, loro producono processori, ASIC e schede di rete. Processori in
possesso di cosucce tipo supporto hypervisor. Cos'altro ti serve, per creare
il leviatano dei trojan horse? [King, Chen et al. 2006; Rutkowska, 2006]
 
Aggiungici magari la collaborazione di qualche produttore di apparEti :-), e
vedi che il Cyber Command non ha poi tutto 'sto bisogno di reclutare nerd di
scarsa affidabilità e probabili idee liberali.
 
Leonardo
 
-- 
Tell us whether you spy, in the light of the morn,
what saluted was fiercely at the fall of the past day:
whose pips and whose bands in the very heart of the fray
bravely floated from the bulwarks to which we were sworn?

 scarsa affidabilità e probabili idee liberali.
 
Leggevo che l'FBI, non riuscendo a sbloccare il blocco pattern del telefonino Android di un imputato (un magnaccia che picchiava le prostitute) per acquire dei dati come prova, ha dovuto chiedere il mandato di un giudice che ha ordinato a Google di cooperare.
| 
http://arstechnica.com/tech-policy/2012/03/fbi-stumped-by-pimps-androids-pattern-lock-serves-warrant-on-google/
 
 
Il che mi pare mostri due cose.
Che da una parte il governo americano non ha le chiavi per entrare nei tuoi dati, almeno in questo caso.
Che dall'altra Google le ha, pur essendo Android pubblicizzato come "open source".
 

 l'installato per i suoi scopi?
 
Ci tutela molto. La semplice possibilita` che si possa essere scoperti
rende l'operazione costosissima e rischiosissima sul piano dell'immagine
e nessun distributore o pacchettizzatore sano di mente aderirebbe al
progetto.
 
Un po' come la possibilita` di mettere un canale di ascolto segreto
integrato nei cellulari da parte dei governi. In questo caso il fattore
"opensource" e` costituito dal fatto che avvicinando il cellulare ad un
comune altoparlantino si sentirebbe l'interferenza provocata dalla
trasmissione radio. Questo fatto, da solo, rende impraticabile la cosa.
Il produttore di cellulari in questione verrebbe scoperto e non ne
venderebbe piu` uno.
 
-- 
Vincenzo


A dire la verita' e' appena successo per Android e non mi pare sia successo niente, nonostante siano stati strascoperti. Anche perche' sul singolo cellulare il sistema operativo arriva in mano dopo che e' passato dal carrier.
 
  ngw
 
 

 e' passato dal carrier.
 
E che c'entra Android (manipolabile a piacere dal carrier) con le
distibuzioni Linux a cui si riferiva l'op?
 
-- 
Vincenzo


Hai fatto tu l'esempio, sostenendo che nessun distributore sano di mente aderirebbe al progetto, il che mi pare completamente smentito dai fatti.
Hai addirittura fatto tu stesso l'esempio del telefono cellulare.
 
  ngw
 


Anche Android è una distribuzione Linux in un certo senso...
 
Android relies on Linux version 2.6 for core system services such as security, memory management, process management, network stack, and driver model. The kernel also acts as an abstraction layer between the hardware and the rest of the software stack.
http://developer.android.com/guide/basics/what-is-android.html
 

 Anche Android è una distribuzione Linux in un certo senso...
 
Non c'entra nulla con il thread. Si parlava di occultare un malware nei
sorgenti di una distribuzione linux tipo redhat, ubuntu, debian ecc.
Sono oggetti che scarichi le iso e ci fai server/desktop.
Android viene usato sui dispositivi mobili. E viene venduto gia`
preinstallato assieme al dispositivo. Quindi e`, all'atto pratico, un
sistema difficlmente verificabile. Anche avendo i sorgenti di android
non puoi controllare un bel niente. Sul cellulare non ci trovi android
"liscio".
 
-- 
Vincenzo


I carrier sono distributori, il parallelo e' perfettamente valido. Infatti l'esempio dei cellulari l'hai fatto tu.
Se chi pacchettizza e distribuisce e' malizioso puo' fare un po' di tutto, del resto Red Hat e Ubuntu non shippano esattamente delle versioni vanilla, ne del kernel ne di tutto quello che sta attorno.
Se a questo aggiungi tutti quegli ambienti in cui non "fai" il server con la iso ma te lo trovi gia' pronto o con solo una immagine da installare (da Linode a Rackspace a Ec2), se qualcuno nel mezzo e' malizioso sei semplicemente fottuto.
 
  ngw
 

 del kernel ne di tutto quello che sta attorno.
 
Li puoi facilmente sgamare. Hai i sorgenti cazzo! (cit.)
Condizione sufficiente per rendere praticamente nulla la possibilita`
che l'operazione sia anche solo immaginata.
 
-- 
Vincenzo

 semplicemente fottuto.
 
Giusto per chiarire, quello che dici rafforza l'equazione
open source = maggior trasparenza.
Se hai solo il binario gia` installato puoi aspettarti di tutto.
Se ti scarichi la classica distribuzione Linux di cui puoi avere i
sorgenti sei abbastanza tranquillo. E non perche` chi
distribuisce/pacchettizza sia un santo ma perche` non puo` fare porcate
senza avere una grossa possibilita` di essere scoperto.
 
-- 
Vincenzo

 senza avere una grossa possibilita` di essere scoperto.
 
definisci "grossa", ci � voluto un po' prima di scoprire i casini con
openssl su Debian


Quindi tu stai sostenendo che ogni distribuzione ha dei soggetti terzi che controllano i sorgenti di *tutti* i pacchetti? 
Posso ad esempio conoscere il team (perche' ovviamente di team si tratta, l'interprete e' di un paio di milioni di LOC) che ad esempio controlla una roba banale come Python, installato di default praticamente ovunque? O un qualche genere di prova che questo avviene?
Perche' questa cosa che dici puzza di atto di fede da una distanza considerevole.
 
  ngw
 

 con openssl su Debian
 
Vero ma alla fine e` saltato fuori. Ma quella roba non era intenzionale,
era una cappellata colossale di un programmatore.
Se tu fossi Canonical rischieresti di rovinarti per sempre la
reputazione mettendo nei sorgenti un malware? A me sembra praticamente
impossibile.
 
-- 
Vincenzo

 impossibile.
 
Questo e' un discorso completamente diverso, e realmente off topic, visto che il presupposto dell'intero thread e' che appunto ci sia la collaborazione di Canonical.
Se la tua risposta e' "ma la collaborazione non c'e'", capisci che il thread decade.
 
  ngw
 
 


Mi permetto di ridere di fronte a questa affermazione...

 Mi permetto di ridere di fronte a questa affermazione...
 
Bravo. Poi quando hai finito di ridere mi dici quante volte un
distributore/pacchettizzatore (con una reputazione ovvio - se un
ragazzino fa una distribuzione linux con i vermi non conta) di un
qualcosa *con TUTTI i sorgenti scaricabili* ha introdotto malware.
 
-- 
Vincenzo


Guarda, io non usavo Gentoo, ma facevo a manovella, from scratch. *TU* 
piuttosto dimmi, quante volte l'hai fatto invece di prendere i pacchetti?


Tu preso dalla foga di difendere Linux proprio non hai compreso il punto, vero?
Facciamo cosi': qual'e' l'ultimo pacchetto che tu hai ispezionato?
 
  ngw

 Facciamo cosi': qual'e' l'ultimo pacchetto che tu hai ispezionato?
 
but but... the �many eyes�!
http://tmrepository.com/trademarks/manyeyesmakeallbugsshallow/
 

 era una cappellata colossale di un programmatore.
 
E questo giustifica che comunque ci sono voluti secoli prima che qualcuno
se ne accorgesse? 

 pacchetti?
 
Pochissime e tanto tempo fa e quindi che vorresti dimostrare?
 
Piuttosto mi dici quante volte un distributore/pacchettizzatore con una
reputazione di un qualcosa *con TUTTI i sorgenti scaricabili* ha
introdotto malware nei sorgenti stessi?
 
-- 
Vincenzo

 qualcuno se ne accorgesse?
 
No, ma io non ho mai pensato che avere i sorgenti significhi
automaticamente che ci siano migliaia di occhi pronti a farti il debug
all'istante o in tempi ragionevoli.
 
MA rispondi a questo per favore:
 
Se tu fossi Canonical rischieresti di rovinarti per sempre la
reputazione mettendo nei sorgenti un malware?
 
-- 
Vincenzo

 reputazione mettendo nei sorgenti un malware?
 
definisci "malware". Nella definizione può rientrare un po' di tutto. Ad
esempio poniamo che Canonical installi di default software ad-supported con
un tracking cookie. Che ci fa Canonical con questi dati? Tu ti fidi? Eppure
i sorgenti sono aperti... ti fai il reverse engineering del protocollo con
cui il coso telefona a casa?
 
Peraltro, se il sw in questione non linka con qualcosa di GPL i sorgenti
possono rimanere legittimamente chiusi. O comunque Canonical può
distribuire i sorgenti in un secondo tempo. 
 
Non è che esiste solo il kernel...


Non so, se tu fossi AT&T rischieresti di rovinarti per sempre la reputazione installando un keylogger?
Discorso molto semplicione, Canonical e' fatta di persone, non saltando fuori chi controlla cosa e' facile supporre di si, visto che uno sviluppatore di Canonical potrebbe eventualmente battersene le palle della reputazione di Canonical.
Per dire, assumi un contractor e fatti scrivere una backdoor per OpenBSD, l'FBI, si diceva, l'aveva fatto.
 
  ngw
 
 


Cito:
"On 11 December 2010, Gregory Perry sent an email to Theo de Raadt alleging that the FBI had paid some OpenBSD ex-developers 10 years previously to insert backdoors into the OpenBSD Cryptographic Framework. Theo de Raadt made the email public on 14 December by forwarding it to the openbsd-tech mailing list and suggested an audit of the IPsec codebase.[51][52] De Raadt's response was skeptical of the report and he invited all developers to independently review the relevant code. In the weeks that followed, bugs were fixed but no evidence of backdoors were found."
 
Strano che De Raadt sia corso a fare una code review, non era impossibile?
 
  ngw
 
 

 impossibile?
 
Cioe` mi citi un non-fatto e ci vuoi anche discutere?
Che doveva fare De Raadt avendo ricevuto notizia del genere prima di
accorgersi che proveniva dalla redazione Kazzenger?
 
E` stata poi trovata la backdoor? I cattivoni dell'FBI L'avranno
cancellata da tutti i pc che hanno scaricato OpenBSD?
Theo l'ha fatta passare sotto silenzio pagato a sua volta dall'FBI
offuscando i sorgenti? Mah!
 
-- 
Vincenzo

 "liscio".
 
La notizia che ho citato mi pare che mostri che Google ha le chiavi di Android e quindi dei tuoi dati su Android. A maggior ragione se "liscio", cioè rilasciato da Google senza che altri ci mettano le mani.
 

 reputazione mettendo nei sorgenti un malware?
 
Ma questo vale, se vale, per qualsiasi azienda,  non solo per Canonical.
 


Semplicemente, siccome e' (cit.) "impossibile", come mai De Raadt e' corso a controllare? La segnalazione parla di un decennio prima, presumo sara' andato a controllare l'ultima versione.
Pero', se fosse cosi' impossibile, non poteva semplicemente dire che e' impossibile, e "dimostrami che nel mio sistema operativo, che non contiene a differenza di Canonical blob binari *per policy*, puo' succedere una cosa del genere".
Tra l'altro, nel momento in cui il codice opensource e' supercontrollato, ma dai lemmings visto che non mi dici chi e' che controlla ne tantomeno che controlli hai fatto tu, capisci che il raggio delle cose discutibili si allarga sensibilmente.
 
  ngw

 introdotto malware nei sorgenti stessi?
 
 
Accade anche a livello di codice, quindi sta' tranquillo: in culo la 
prendi uguale (vedi ngw).

 reputazione mettendo nei sorgenti un malware?
 
s/Canonical/QUALUNQUE_AZIENDA_SUL_MERCATO/
 
 
Poi 'malaware'... vabbe` comprendiamo quello che dici.
 
 


Illo tempore si parlava di una backdoor su ogni copia
di windows da win95->NT4 che permetteva alla NSA di
accedere ai dati anche crittografati su ogni pc del
pianeta.
 
Questa forse era una balla, ma che Borlan abbia messo una
backdoor al suo DB e' una cosa accertata appena e' stato
rilasciato il codice e quelli di Firebird ci hanno messo
le mani sopra.
 
Cosi' come e' accertato che Sony abbia sparso rootkit a
piene mani per pararsi il culo dalle copie illegali.
 
Direi che, alla luce dei fatti, la tua substitution e'
un tantino azzardata.
 
C:\>iao Angelo

 un tantino azzardata.
 
Come tutti sanno, i software open subiscono audit peggiori di quelli che 
sviluppano in Ada...


Deboluccia come risposta... Io ti ho portato tre esempi di
aziende che infilano delibaratamente malware nei loro prodotti
o in quelli degli altri. Due sono accertati.
 
Potresti portare un esempio di programma opensource in cui
il produttore abbia infilato deliberatamente malware nel
codice?
 
Con tutto l'OpenSource che c'e' in giro (anche con discreta
diffusione), pare strano che una Oracle a caso non abbia
neanche provato ad infilare una backdoor in MySql, Berkeley
db o OpenOffice...
 
C:\>iao Angelo
 
P.S. Anche se l'audit dei programmi OpenSource fosse realemnte
     fetido come tu affermi, resta dimostrato che 3 aziende,
     guardacaso nessuna con prodotti opensource, hanno rifilato
     malware ai propri clienti. Smentendo la tua categorica
     affermazione che QUALUNQUE azienda software ha interesse
     a non rifilare pacchi ai propri utenti.

 offuscando i sorgenti? Mah!
 
Traduzione: supponiamo che l'ex-cto di NETSEC mandi un email a Torvalds
dicendogli che i marziani hanno inserito una backdoor nel codice alsa
per inviare messaggi subliminali e anti-terrestri ai suoi utenti. Ora io
mi aspetto che Torvalds si farebbe quattro risate (forse) oppure
sbufferebbe per la perdita di tempo di leggere l'email.
 
Questa' e' la reazione ad un fatto *impossibile*. Se invece il fatto e'
solo improbabile, allora il suo dovere sarebbe di fare, pur rimanendo
scettico, quello che ha fatto DeRaadt. 
 
ngw insomma ti sta dicendo che DeRaadt non considerava *impossibile*
quello che tu dici essere impossibile, ma solo *improbabile*. Di qui le
sue azioni.
 
-- 
-riko
http://www.enrico-franchi.org/
 
http://rik0-techtemple.blogspot.com/
 

 codice?
 
E' importante il "deliberatamente". Spiego... se mi pialla /usr, cambia
se lo ha fatto per errore?


 pialla /usr, cambia se lo ha fatto per errore?
 
Si. La buona fede e' sempre una scusante. La malafede e'
un'aggravante anche quando non si procurano danni.
 
Questo perche' le relazioni umane si basano sulla fiducia
e un danno provocato con dolo mina questa fiducia e mette
in discuzzione lo stesso vivere civile.
 
Se la cosa ti sembra troppo filosofica, prova a domandarti
perche' l'omicidio colposo viene punito con massimo 6 anni
e quello volontario con minimo 21... Dal punto di vista
pratico, si ha un morto in entrambi i casi.
 
C:\>iao Angelo

 pratico, si ha un morto in entrambi i casi.
 
 
Vabe` lascia perdere che apri un vasetto di vermi qui, quando la realta` 
non e` cio` che e` scritto nei codici.
 
 
 
 

       a non rifilare pacchi ai propri utenti.
 
Rispondi a chi perde di piu`, sopra.
 
 
Sai, esiste anche la deliberata incompetenza che porta a danni, e questa 
deve (ed e`) punita severamente.
 
Vuoi divertirti sull'open? Hai mai letto la review del codice di Diaspora?
 
 
 
 

 Tieni conto che non tutti sono pagati nel mondo open, mentre in Oracle si.
 
Motivo per cui io tendo a fidarmi delle aziende con profitti... pi� che dei 
progetti da garage, generalmente parlando.
Per�, come mi pare era gi� stato notato, potrebbe trattarsi anche di un 
dipendente infedele all'insaputa della ditta.
Oppure ci potrebbero essere altri motivi: aziende costrette dai governi, 
aziende che se ne fregano della eventuale figuraccia contando sull'ignoranza 
dei consumatori...
 
 

 quando la realta` non e` cio` che e` scritto nei codici.
 
Allora spiegami cosa ci sarebbe di sbagliato nel mio
ragionamento... Perche' qualcuno dovrebbe trattare alla
stessa maniera uno che tenta deliberatamente e consapevolmente
di farti il maggior danno possibile ed uno che ti danneggia per
errore.
 
C:\>iao Angelo

 del codice di Diaspora?
 
Cioe'? Appena si sono avuti a disposizione i sorgenti
una mandria di reviewer si e' precipitata a spulciarlo?
 
Ma la vulgata non vuole che "siiii.... e' opensource,
ma figurati se qualcuno va a controllare i sorgenti!".
 
Grazie per esserti smentito da solo. :-)
 
C:\>iao Angelo
 
P.S. Spero non debba cospargermi il capo di cenere se
     fino ad oggi neanche sapevo dell'esitenza di sto
     "Diaspora".

 anche di un dipendente infedele all'insaputa della ditta.
 
Dici che la colpa del rootkit della Sony e' del Paolitto
di turno che era un tantinello alterato perche' non gli
avevano dato le ferie ad Agosto? Sticazzi!
 
C:\>iao Angelo

 errore.
 
La differenza tra la teoria e la pratica, ecco la parte sbagliata.
 
 
 
 
 
 
 

 sull'ignoranza dei consumatori...
 
Possibile anche questo. Ma la distanza tra open e closed e` quasi nulla 
per progetti molto grandi. Ora io uso Trilinos, che e` enorme, e fatto 
da *Sandia*, ed e` open. Chi mi garantisce che non faccia qualcosa che 
non deve?
 
E` fiducia.
 
 
 
 

       "Diaspora".
 
 
Beh, e` l'ennesimo progetto open, allo stato attuale fallimentare. Vedremo!
 
 
 

 nascosta dietro la schiana. Saro' io malfidato...
...
 
Questo � naturale. Anch'io ho un po' di fiducia in pi� in alcuni casi, tra i 
quali appunto il caso in cui i sorgenti sono disponibili e quindi 
potenzialmente controllabili (cos� come, tra parentesi, ho un po' di fiducia 
in pi� verso qualcuno che ha qualcosa da perdere, perch� per esempio si 
tratta di un programma a pagamento, rispetto a chi non avrebbe nulla da 
perdere).
 
Per� il post che ha dato origine al thread poneva alcune domande che 
andavano al di l� di questo, e cio� se c'� qualcuno che effettivamente 
controlla, al di l� della potenzialit� di poterlo fare in teoria, e se in 
definitiva l'OS ci tutela da utilizzi malevoli. 
 

 pratico, si ha un morto in entrambi i casi.
 
Guarda, mi sta bene. Quello che voglio dire e' che, a mio avviso, il
fatto di essere open di per se non e' una particolare garanzia. Certo,
piu' persone *potrebbero* avere guardato il codice, ma non
necessariamente lo hanno fatto. Ci sono progetti in cui sono
ragionevolmente sicuro che molti abbiano guardato il codice (un esempio
su tutti, proprio Linux stesso) e anche che dei molti che lo hanno fatto
un buon numero sono in grado di capirlo.
 
Ma sono sempre ragionamenti del tipo "e' meno probabile che". Tutto li.
Per il resto la reputazione induce "tutti" a non fare certe cose, a meno
che non hanno un'interesse superiore, tale da accettare di perdere la
reputazione. Tutto qui.


 ma meglio di cosi' non so spiegartelo.
...
 
Neanche nel caso di Sony c'era un diretto intento malizioso, per�.
 
Da Wikipedia: Anti-virus firm F-Secure asserted, "Although the software 
isn't directly malicious, the used rootkit hiding techniques are exactly the 
same used by malicious software to hide themselves.
 
Lo scopo di Sony era legittimo: tutelare il copyright rispetto alle copie 
abusive dei CD.
Il problema � che perseguito uno scopo legittimo con il sistema sbagliato, 
cio� con un rootkit, per giunta maldestro afaik, che ha aperto grossi 
problemi di sicurezza *al di l� delle intenzioni di Sony*. Quindi � 
discutibile se ci fosse un vero e proprio "dolo", come nella volont� di fare 
danni, o solo una grave colpa.
 
In ogni caso, l'esempio dei CD Sony mi pare pertinente solo fino a un certo 
punto col discorso se scegliere sw open o closed, perch� in quel caso 
l'utente non sceglieva un bel nulla, ma acquistava un prodotto (i CD 
musicali Sony) senza  neanche sapere che conteneva un software che si 
sarebbe installato a sua insaputa. Lo stesso identico risultato  si sarebbe 
potuto ottenere con un sw OS, se installato all'insaputa dell'utente.