Znajdź zawartość

W sieci pojawiły się informacje, jakoby przed 10 laty FBI zapłaciło kilku opensource'owym developerom za umieszczenie tylnych drzwi w systemie OpenBSD, a konkretnie w protokole IPSEC. Informację taką ujawnił Theo De Raadt, twórca projektu OpenBSD. De Raadt otrzymał e-mail od Gregory'ego Perry'ego, który jest obecnie szefem GoVirtual Education. Przed 10 laty Perry był prezesem ds. technicznych firmy NETSEC i został wynajęty przez należące do FBI GSA Technical Support Center. Kontrakt zawierał klauzulę poufności, która właśnie wygasła, dlatego też Perry poinformował De Raadta o tym, czego dowiedział się pracując na zlecenie GSA Technical Support Center. Chciałbym, byś wiedział, że FBI zaimplementowało liczne tylne drzwi oraz mechanizm, który ujawnia klucze kryptograficzne używane w OCF (OpenBSD/FreeBSD Cryptographic Framework) - napisał Perry. Dodał przy tym, że Jason Wright i inni developerzy byli odpowiedzialni za stworzenie tych tylnych drzwi. Powinieneś przejrzeć cały kod stworzony przez Wrighta i innych developerów z NETSEC. Zdaniem Perry'ego to właśnie istnienie tych drzwi, pozostających pod kontrolą FBI, skłoniło FBI do lobbowania za wykorzystywaniem OpenBSD do tworzenia wirtualnych sieci prywatnych i używania firewalla w środowiskach wirtualnych. Na przykład Scott Lowe to szanowany specjalista od wirtualizacji, który jest na liście płac FBI. Opublikował on ostatnio kilka podręczników na temat wykorzystania mechanizmów wirtualizacyjnych OpenBSD w przemysłowych systemach VMware vSphere - dodał Perry. De Raadt potraktował e-mail od Perry'ego bardzo poważnie. Zdecydował się go ujawnić bo chce, by podejrzany kod został jak najszybciej przejrzany.

Theo de Raadt, twórca systemu OpenBSD, ostrzega przed procesorami Core 2 Duo Intela. Zdaniem de Raadta w układach istnieją dziury, które narażają ich właścicieli na niebezpieczeństwo ataku. Twierdzi on, że nawet w przypadkach gdy Intel opublikował poprawki, niebezpieczeństwo wciąż istnieje, gdyż mali sprzedawcy często nie instalują łat dla mikrokodu procesora lub też nie działają one na mniej popularnych systemach operacyjnych. Obecnie nie polecałbym kupowania żadnej maszyny z Core 2 Duo – stwierdził de Raadt w poście na grupie dyskusyjnej OpenBSD. Poinformował on, że wiele z błędów pozwala na doprowadzenie do błędu przepełnienia bufora, w wyniku którego przestają działać zabezpieczenia układu. Zarówno inżynierowie Intela jak i część niezależnych specjalistów twierdzą, że nie ma mowy o żadnym niebezpieczeństwie. Nie zgadzają się oni ze stwierdzeniem, że spośród 105 błędów w mikrokodzie procesora aż 30 pozwala na przeprowadzenie ataku. Jeśli jednak de Raadt ma rację, niebezpieczeństwo jest poważne. Rodzina Core 2 Duo zdobyła sobie olbrzymią popularność i jest wykorzystywana przez wiele urządzeń. Co więcej, ewentualne błędy w procesorze można wykorzystać niezależnie od systemu operacyjnego, więc gdyby luki rzeczywiście istniały, żadne urządzenie z Core 2 Duo nie byłoby bezpieczne. W swoim poście de Raadt wymienia sześć najbardziej jego zdaniem niebezpiecznych błędów. Są to luki oznaczone przez Intela symbolami AI39, AI43, AI65, AI79, AI90 i AI99. Zdaniem twórcy OpenBSD są one niebezpieczne jak diabli. Inżynierowie Intela są zaskoczeni stwierdzeniami de Raadta. Zapewniają, że wszystkie błędy zostały poprawione i właścicielom Core 2 Duo nic nie zagraża. Zdziwiony jest też m.in. Rodney Thayer, specjalista ds. bezpieczeństwa w Canola & Jones. Wymienione błędy mogą mieć wpływ na pracę systemu operacyjnego, ale nie mają wpływu na bezpieczeństwo. Jak zwykle to, co mówi Theo nie jest całkowitą bzdurą, ale on robi wokół tego zbyt wiele hałasu. Nie widzę tutaj żadnego niebezpieczeństwa – stwierdził Thayer. Theo de Raadt cieszy się w środowiskach specjalistów opinią awanturnika.