Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
> e os Windows já não são explorados sem esforço? > Sério? Então explica aí como se faz isso... dá alguns exemplos de como se explora remotamente uma máquina com Windows, "sem esforço"... -- Celso Vianna BSD User: 51318 http://www.bsdcounter.org 63 8404-8559 Palmas/TO - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
e os Windows já não são explorados sem esforço? flames > /dev/random Em 17 de dezembro de 2010 12:09, Celso Viana escreveu: > Em 15 de dezembro de 2010 09:19, mantunes > escreveu: > > Se confirmado, seria uma mancha na reputação do OpenBSD. Espero que > > isso seja apenas boato > > > > http://bit.ly/gBamNC > > > > > > > > -- > > Marcio Antunes > > Powered by FreeBSD > > == > > * Windows: "Where do you want to go tomorrow?" > > * Linux: "Where do you want to go today?" > > * FreeBSD: "Are you, guys, comming or what?" > > - > > Histórico: http://www.fug.com.br/historico/html/freebsd/ > > Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd > > > > Se isso for verdade... estarão os outros sistemas seguros? Já > imaginaram os Windows, instalados em milhões de máquinas, podendo ser > explorados sem nenhum esforço? > > -- > Celso Vianna > BSD User: 51318 > http://www.bsdcounter.org > > 63 8404-8559 > Palmas/TO > - > Histórico: http://www.fug.com.br/historico/html/freebsd/ > Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd > - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
Em 15 de dezembro de 2010 09:19, mantunes escreveu: > Se confirmado, seria uma mancha na reputação do OpenBSD. Espero que > isso seja apenas boato > > http://bit.ly/gBamNC > > > > -- > Marcio Antunes > Powered by FreeBSD > == > * Windows: "Where do you want to go tomorrow?" > * Linux: "Where do you want to go today?" > * FreeBSD: "Are you, guys, comming or what?" > - > Histórico: http://www.fug.com.br/historico/html/freebsd/ > Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd > Se isso for verdade... estarão os outros sistemas seguros? Já imaginaram os Windows, instalados em milhões de máquinas, podendo ser explorados sem nenhum esforço? -- Celso Vianna BSD User: 51318 http://www.bsdcounter.org 63 8404-8559 Palmas/TO - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
Talvez ele tenha sido apenas ironico ao dizer isso... nao no sentido mesmo da palavra. Em 17 de dezembro de 2010 00:40, Douglas Santos escreveu: > 2010/12/16 Douglas Santos : >> 2010/12/16 Josias L. Gonçalves : >>> http://www.itwire.com/opinion-and-analysis/open-sauce/43995-openbsd-backdoor-claims-code-audit-begins > > esses sao os bugs encontrados e corrigidos ate o momento > > http://marc.info/?l=openbsd-cvs&m=129245633605693&w=2 > http://marc.info/?l=openbsd-cvs&m=129245816907800&w=2 > - > Histórico: http://www.fug.com.br/historico/html/freebsd/ > Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd > - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
2010/12/16 Douglas Santos : > 2010/12/16 Josias L. Gonçalves : >> http://www.itwire.com/opinion-and-analysis/open-sauce/43995-openbsd-backdoor-claims-code-audit-begins esses sao os bugs encontrados e corrigidos ate o momento http://marc.info/?l=openbsd-cvs&m=129245633605693&w=2 http://marc.info/?l=openbsd-cvs&m=129245816907800&w=2 - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
2010/12/16 Josias L. Gonçalves : > http://www.itwire.com/opinion-and-analysis/open-sauce/43995-openbsd-backdoor-claims-code-audit-begins "Until 2 days ago I had no idea that both Jason and Angelos (Keromytis) in the past did work for a company that does that business," De Raadt said. isso nao bate com a informacao que eu tenho, veja esse post de Jason em 2000. http://monkey.org/openbsd/archive/misc/0004/msg00583.html The OpenBSD split IPSec stack was written by Angelos D. Keromytis with funding by NetSec (http://www.netsec.net), and the hifn7751 driver was written by me (a NetSec employee ;). - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
http://www.itwire.com/opinion-and-analysis/open-sauce/43995-openbsd-backdoor-claims-code-audit-begins OpenBSD project head Theo de Raadt told iTWire: "We've been auditing since the mail came in! We have already found two bugs in our cryptographic code. We are assessing the impact. We are also assessing the 'archeological' aspects of this.." Em 16 de dezembro de 2010 22:11, Douglas Santos escreveu: > 2010/12/16 Jean Everson Martina : >> >> O problema não tem nada a ver com o modelo opensource, mas com alguém >> deliberadamente projetar um backdoor. Se foi bem feito vai permanecer ali >> para sempre. > > eu suspeitaria de security fixes como esse abaixo, sem advisory, onde > a autenticacao ESP estava desabilitada. > http://code.bsd64.org/cvsweb/openbsd/src/sys/netinet/ip_esp.c.diff?r1=1.74;r2=1.75;f=h > > por sinal, os fixes estao comecando a aparecer > http://marc.info/?l=openbsd-cvs&m=129245633605693&w=2 > - > Histórico: http://www.fug.com.br/historico/html/freebsd/ > Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd > - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
2010/12/16 Jean Everson Martina : > > O problema não tem nada a ver com o modelo opensource, mas com alguém > deliberadamente projetar um backdoor. Se foi bem feito vai permanecer ali > para sempre. eu suspeitaria de security fixes como esse abaixo, sem advisory, onde a autenticacao ESP estava desabilitada. http://code.bsd64.org/cvsweb/openbsd/src/sys/netinet/ip_esp.c.diff?r1=1.74;r2=1.75;f=h por sinal, os fixes estao comecando a aparecer http://marc.info/?l=openbsd-cvs&m=129245633605693&w=2 - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
Isso não mancha a figura do OpenBSD, muito pelo contrário, nos chama a atenção para a transparência com que o problema está sendo tratado e a facilidade de se verificar a possível existência do código por terceiros, não apenas pelos desenvolvedores. Isso me deixa mais confiante no Open Source. Em um sistema proprietário e existência de um backdoor como este não poderia nunca ser confirmada/negada (levando-se em conta que a informação vazasse, o que seria um pouco difícil), apenas pela empresa responsável e mesmo assim não teríamos como verificar a informação. Não saberíamos se a empresa realmente corrigiu o problema, pois não teríamos como auditar isso. Sinceramente, eu não sei se torço pela existência do código, para que possa ser mostrado e corrigido, pois se apenas disserem que não foi confirmada ou não existe, na cabeça do público, mesmo que da área, sempre ficará a dúvida. FUD ou não, vai ser difícil. -- Antônio Rogério Lins de A. Pessoa - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
Onde tem fumaça, tem fogo... Cutuca esse mato que o cachorro sai. Vamos verificar, nao custa nada né? Quem avisa, amigo é... Se for mentira, culpa dele. Porem o FBI nao me cheira bem. #w1k1leaksBSD! Em 16 de dezembro de 2010 16:34, Antonio Modesto escreveu: > On Thu, 2010-12-16 at 14:52 +, Jean Everson Martina wrote: > > > >>> Estou postando no meu twitter, http://twitter.com/eksffa, os links > mais relevantes. Tem coisa boa la sendo dita, acho bacana uma lida previa > pra respaldar opiniões, pessoais e profissionais. > > >>> > > >>> O des@ até ofereceu dinheiro se alguém mostrar alguma evidencia. A > opinião geral é de incredulidade especialmente pelo codigo estar ai, e > ninguém ve nada nele. > > >> > > >> O problema é que talvez isso demande não programadores para ver, mas > cryptanalistas. Pode ser simplesmente uma variação da famosa lei do Arthur C > Clarke: > > >> > > >> "Any sufficiently advanced malice is indistinguishable from > stupidity." > > > > > > Bom, estamos falando de pessoas como o amigo pessoal do Theo, Bruce > Schneier, o proprio Theo, o Angelos, Niels PRovos e o J. Wright (e até o DJB > nas horas vagas, reconhecidamente da pitaco) Alguns matemáticos por formação > e todos os citados especialistas, em criptografia. Alguns dispensam > apresentação (Schneier, Wright). Uma equipe dessas, deve ser suficiente pra > encontrar algo suspeito se houver ;-) > > > > Esse que é o problema, mesmo com os melhores dos melhores disponíveis > você não pode garantir que não existe o backdoor. A história já mostrou isso > no caso dos ataques diferenciais do DES. A comunidade cientifica levou quase > trinta anos pra achar os ataques diferenciais e quando vieram a tona, a NSA > disse ja conhecer desde quando o DES foi introduzido em 1977. Nunca foi > provado, mas houve esta afirmação. > > > > O problema é que o backdoor pode não ter nada a ver com o que é conhecido > e disponível na comunidade científica atualmente. Inclusive nem ter nada a > ver com o código e ser um zero day critográfico. Eu conversei com o Robert > Watson hoje e a discussão foi muito nesse sentido. Se foi realmente bem > feito, num tem como detectar. Só o cara que falou é que pode confirmar e > mostrar o bug introduzido e se o cara ficar quieto, nem mesmo ele > desmentindo vai convencer os paranóicos. > > > > O problema não tem nada a ver com o modelo opensource, mas com alguém > deliberadamente projetar um backdoor. Se foi bem feito vai permanecer ali > para sempre. > > > > Na minha opinião, acho que isso é alguém mal intencionado com foco em > "sujar" a fama de "SO seguro" do OpenBSD, ainda mais com uma equipe de > desenvolvimento paranóica como a do OpenBSD, se isso tivesse ocorrido > com o Linux, eu acreditaria. > > > > Jean > > - > > Histórico: http://www.fug.com.br/historico/html/freebsd/ > > Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd > > > > Antonio Modesto > > Gerente de TI > > > Praça Getúlio Vargas, 77 – Sala 308 – Centro > > Santo Antônio do Monte – MG – CEP: 35560-000 > (37) 3281-2800 > > isimp...@isimples.com.brhttp://www.isimples.com.br > > > Aviso:Esta mensagem e quaisquer arquivos em anexo podem conter > informações confidenciais e/ou > > privilegiadas. Se você não for o destinatário ou a pessoa autorizada a > receber esta mensagem, por favor, não > > leia, copie, repasse, imprima, guarde, nem tome qualquer ação baseada > nessas informações. Notifique o > > remetente imediatamente por e-mail e apague a mensagem permanentemente. > Atenção: embora a Isimples > > Telecom, tome seus cuidados para garantir a ausência de vírus neste > e-mail, a empresa não se responsabiliza > > por quaisquer perdas ou danos decorrentes do uso da mensagem e seus > anexos. A segurança e ausência de > > erros na transmissão do e-mail não podem ser garantidas, já que as > informações podem ser interceptadas, > > corrompidas, perdidas, destruídas, atrasadas, chegarem incompletas, ou, > ainda, conter vírus. Recomendamos > > checar se o e-mail e seus anexos contém vírus, uma vez que nem a > Isimples Telecom ou o remetente se > > responsabilizam pela transmissão destes. > > > > - > Histórico: http://www.fug.com.br/historico/html/freebsd/ > Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd > - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
On Thu, 2010-12-16 at 14:52 +, Jean Everson Martina wrote: > >>> Estou postando no meu twitter, http://twitter.com/eksffa, os links mais > >>> relevantes. Tem coisa boa la sendo dita, acho bacana uma lida previa pra > >>> respaldar opiniões, pessoais e profissionais. > >>> > >>> O des@ até ofereceu dinheiro se alguém mostrar alguma evidencia. A > >>> opinião geral é de incredulidade especialmente pelo codigo estar ai, e > >>> ninguém ve nada nele. > >> > >> O problema é que talvez isso demande não programadores para ver, mas > >> cryptanalistas. Pode ser simplesmente uma variação da famosa lei do Arthur > >> C Clarke: > >> > >> "Any sufficiently advanced malice is indistinguishable from stupidity." > > > > Bom, estamos falando de pessoas como o amigo pessoal do Theo, Bruce > > Schneier, o proprio Theo, o Angelos, Niels PRovos e o J. Wright (e até o > > DJB nas horas vagas, reconhecidamente da pitaco) Alguns matemáticos por > > formação e todos os citados especialistas, em criptografia. Alguns > > dispensam apresentação (Schneier, Wright). Uma equipe dessas, deve ser > > suficiente pra encontrar algo suspeito se houver ;-) > > Esse que é o problema, mesmo com os melhores dos melhores disponíveis você > não pode garantir que não existe o backdoor. A história já mostrou isso no > caso dos ataques diferenciais do DES. A comunidade cientifica levou quase > trinta anos pra achar os ataques diferenciais e quando vieram a tona, a NSA > disse ja conhecer desde quando o DES foi introduzido em 1977. Nunca foi > provado, mas houve esta afirmação. > > O problema é que o backdoor pode não ter nada a ver com o que é conhecido e > disponível na comunidade científica atualmente. Inclusive nem ter nada a ver > com o código e ser um zero day critográfico. Eu conversei com o Robert > Watson hoje e a discussão foi muito nesse sentido. Se foi realmente bem > feito, num tem como detectar. Só o cara que falou é que pode confirmar e > mostrar o bug introduzido e se o cara ficar quieto, nem mesmo ele desmentindo > vai convencer os paranóicos. > > O problema não tem nada a ver com o modelo opensource, mas com alguém > deliberadamente projetar um backdoor. Se foi bem feito vai permanecer ali > para sempre. > Na minha opinião, acho que isso é alguém mal intencionado com foco em "sujar" a fama de "SO seguro" do OpenBSD, ainda mais com uma equipe de desenvolvimento paranóica como a do OpenBSD, se isso tivesse ocorrido com o Linux, eu acreditaria. > Jean > - > Histórico: http://www.fug.com.br/historico/html/freebsd/ > Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd > Antonio Modesto Gerente de TI Praça Getúlio Vargas, 77 – Sala 308 – Centro Santo Antônio do Monte – MG – CEP: 35560-000 (37) 3281-2800 isimp...@isimples.com.brhttp://www.isimples.com.br Aviso:Esta mensagem e quaisquer arquivos em anexo podem conter informações confidenciais e/ou privilegiadas. Se você não for o destinatário ou a pessoa autorizada a receber esta mensagem, por favor, não leia, copie, repasse, imprima, guarde, nem tome qualquer ação baseada nessas informações. Notifique o remetente imediatamente por e-mail e apague a mensagem permanentemente. Atenção: embora a Isimples Telecom, tome seus cuidados para garantir a ausência de vírus neste e-mail, a empresa não se responsabiliza por quaisquer perdas ou danos decorrentes do uso da mensagem e seus anexos. A segurança e ausência de erros na transmissão do e-mail não podem ser garantidas, já que as informações podem ser interceptadas, corrompidas, perdidas, destruídas, atrasadas, chegarem incompletas, ou, ainda, conter vírus. Recomendamos checar se o e-mail e seus anexos contém vírus, uma vez que nem a Isimples Telecom ou o remetente se responsabilizam pela transmissão destes. - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
Em 16/12/2010, às 13:06, Patrick Tracanelli escreveu: > > Em 16/12/2010, às 12:52, Jean Everson Martina escreveu: > >> > Estou postando no meu twitter, http://twitter.com/eksffa, os links mais > relevantes. Tem coisa boa la sendo dita, acho bacana uma lida previa pra > respaldar opiniões, pessoais e profissionais. > > O des@ até ofereceu dinheiro se alguém mostrar alguma evidencia. A > opinião geral é de incredulidade especialmente pelo codigo estar ai, e > ninguém ve nada nele. O problema é que talvez isso demande não programadores para ver, mas cryptanalistas. Pode ser simplesmente uma variação da famosa lei do Arthur C Clarke: "Any sufficiently advanced malice is indistinguishable from stupidity." >>> >>> Bom, estamos falando de pessoas como o amigo pessoal do Theo, Bruce >>> Schneier, o proprio Theo, o Angelos, Niels PRovos e o J. Wright (e até o >>> DJB nas horas vagas, reconhecidamente da pitaco) Alguns matemáticos por >>> formação e todos os citados especialistas, em criptografia. Alguns >>> dispensam apresentação (Schneier, Wright). Uma equipe dessas, deve ser >>> suficiente pra encontrar algo suspeito se houver ;-) >> >> Esse que é o problema, mesmo com os melhores dos melhores disponíveis você >> não pode garantir que não existe o backdoor. A história já mostrou isso no >> caso dos ataques diferenciais do DES. A comunidade cientifica levou quase >> trinta anos pra achar os ataques diferenciais e quando vieram a tona, a NSA >> disse ja conhecer desde quando o DES foi introduzido em 1977. Nunca foi >> provado, mas houve esta afirmação. >> >> O problema é que o backdoor pode não ter nada a ver com o que é conhecido e >> disponível na comunidade científica atualmente. Inclusive nem ter nada a ver >> com o código e ser um zero day critográfico. Eu conversei com o Robert >> Watson hoje e a discussão foi muito nesse sentido. Se foi realmente bem >> feito, num tem como detectar. Só o cara que falou é que pode confirmar e >> mostrar o bug introduzido e se o cara ficar quieto, nem mesmo ele >> desmentindo vai convencer os paranóicos. > > Concordo com a dificuldade implicita, mas uma coisa é algo estar la, e > ninguém desconfiar que pode haver um comportamento determinístico diferente > do que aparentemente um algorítimo se propõe, por hipótese ou insight. Outra > coisa é alguém apontar o dedo, e ainda assim pessoas tão ou mais capacitadas > quanto as que fizeram, não encontrarem sequer uma hipótese, mesmo sem PoC, e > remove-las. > >> O problema não tem nada a ver com o modelo opensource, mas com alguém >> deliberadamente projetar um backdoor. Se foi bem feito vai permanecer ali >> para sempre. > > Certamente ser open source é a vantagem, não o problema. > > A questão é que não é preciso encontrar, determinar e reproduzir. É > identificar a hipótese, mitigar ou desviar. Como se trata um bug, a hipótese > é suficiente pra demandar correção/mitigação não é necessário confirmar o > PoC, não é preciso reproduzir. Como se ja não estivesse confuso suficiente, saiu no G1: http://g1.globo.com/tecnologia/noticia/2010/12/sistema-operacional-teria-brecha-pedida-pelo-fbi-diz-programador.html O artigo trata como se fosse certo a existencia do problema especialmente no final quando tenta livrar Mac OS X, FreeBSD, NetBSD e Linux. O lado positivo: muita divulgação do OpenBSD na imprensa :D Apesar de em teoria ser um destaque negativo, eu acho bem positivo ter o screenshot do site no G1 :) -- Patrick Tracanelli FreeBSD Brasil LTDA. Tel.: (31) 3516-0800 316...@sip.freebsdbrasil.com.br http://www.freebsdbrasil.com.br "Long live Hanin Elias, Kim Deal!" - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
http://blogs.csoonline.com/1296/an_fbi_backdoor_in_openbsd Alguns detalhes a mais ditas por G. Perry Em 16 de dezembro de 2010 13:06, Patrick Tracanelli escreveu: > > Em 16/12/2010, às 12:52, Jean Everson Martina escreveu: > >> > Estou postando no meu twitter, http://twitter.com/eksffa, os links mais > relevantes. Tem coisa boa la sendo dita, acho bacana uma lida previa pra > respaldar opiniões, pessoais e profissionais. > > O des@ até ofereceu dinheiro se alguém mostrar alguma evidencia. A > opinião geral é de incredulidade especialmente pelo codigo estar ai, e > ninguém ve nada nele. O problema é que talvez isso demande não programadores para ver, mas cryptanalistas. Pode ser simplesmente uma variação da famosa lei do Arthur C Clarke: "Any sufficiently advanced malice is indistinguishable from stupidity." >>> >>> Bom, estamos falando de pessoas como o amigo pessoal do Theo, Bruce >>> Schneier, o proprio Theo, o Angelos, Niels PRovos e o J. Wright (e até o >>> DJB nas horas vagas, reconhecidamente da pitaco) Alguns matemáticos por >>> formação e todos os citados especialistas, em criptografia. Alguns >>> dispensam apresentação (Schneier, Wright). Uma equipe dessas, deve ser >>> suficiente pra encontrar algo suspeito se houver ;-) >> >> Esse que é o problema, mesmo com os melhores dos melhores disponíveis você >> não pode garantir que não existe o backdoor. A história já mostrou isso no >> caso dos ataques diferenciais do DES. A comunidade cientifica levou quase >> trinta anos pra achar os ataques diferenciais e quando vieram a tona, a NSA >> disse ja conhecer desde quando o DES foi introduzido em 1977. Nunca foi >> provado, mas houve esta afirmação. >> >> O problema é que o backdoor pode não ter nada a ver com o que é conhecido e >> disponível na comunidade científica atualmente. Inclusive nem ter nada a ver >> com o código e ser um zero day critográfico. Eu conversei com o Robert >> Watson hoje e a discussão foi muito nesse sentido. Se foi realmente bem >> feito, num tem como detectar. Só o cara que falou é que pode confirmar e >> mostrar o bug introduzido e se o cara ficar quieto, nem mesmo ele >> desmentindo vai convencer os paranóicos. > > Concordo com a dificuldade implicita, mas uma coisa é algo estar la, e > ninguém desconfiar que pode haver um comportamento determinístico diferente > do que aparentemente um algorítimo se propõe, por hipótese ou insight. Outra > coisa é alguém apontar o dedo, e ainda assim pessoas tão ou mais capacitadas > quanto as que fizeram, não encontrarem sequer uma hipótese, mesmo sem PoC, e > remove-las. > >> O problema não tem nada a ver com o modelo opensource, mas com alguém >> deliberadamente projetar um backdoor. Se foi bem feito vai permanecer ali >> para sempre. > > Certamente ser open source é a vantagem, não o problema. > > A questão é que não é preciso encontrar, determinar e reproduzir. É > identificar a hipótese, mitigar ou desviar. Como se trata um bug, a hipótese > é suficiente pra demandar correção/mitigação não é necessário confirmar o > PoC, não é preciso reproduzir. > > > -- > Patrick Tracanelli > > FreeBSD Brasil LTDA. > Tel.: (31) 3516-0800 > 316...@sip.freebsdbrasil.com.br > http://www.freebsdbrasil.com.br > "Long live Hanin Elias, Kim Deal!" > > - > Histórico: http://www.fug.com.br/historico/html/freebsd/ > Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd > - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
Em 16/12/2010, às 12:52, Jean Everson Martina escreveu: > Estou postando no meu twitter, http://twitter.com/eksffa, os links mais relevantes. Tem coisa boa la sendo dita, acho bacana uma lida previa pra respaldar opiniões, pessoais e profissionais. O des@ até ofereceu dinheiro se alguém mostrar alguma evidencia. A opinião geral é de incredulidade especialmente pelo codigo estar ai, e ninguém ve nada nele. >>> >>> O problema é que talvez isso demande não programadores para ver, mas >>> cryptanalistas. Pode ser simplesmente uma variação da famosa lei do Arthur >>> C Clarke: >>> >>> "Any sufficiently advanced malice is indistinguishable from stupidity." >> >> Bom, estamos falando de pessoas como o amigo pessoal do Theo, Bruce >> Schneier, o proprio Theo, o Angelos, Niels PRovos e o J. Wright (e até o DJB >> nas horas vagas, reconhecidamente da pitaco) Alguns matemáticos por formação >> e todos os citados especialistas, em criptografia. Alguns dispensam >> apresentação (Schneier, Wright). Uma equipe dessas, deve ser suficiente pra >> encontrar algo suspeito se houver ;-) > > Esse que é o problema, mesmo com os melhores dos melhores disponíveis você > não pode garantir que não existe o backdoor. A história já mostrou isso no > caso dos ataques diferenciais do DES. A comunidade cientifica levou quase > trinta anos pra achar os ataques diferenciais e quando vieram a tona, a NSA > disse ja conhecer desde quando o DES foi introduzido em 1977. Nunca foi > provado, mas houve esta afirmação. > > O problema é que o backdoor pode não ter nada a ver com o que é conhecido e > disponível na comunidade científica atualmente. Inclusive nem ter nada a ver > com o código e ser um zero day critográfico. Eu conversei com o Robert > Watson hoje e a discussão foi muito nesse sentido. Se foi realmente bem > feito, num tem como detectar. Só o cara que falou é que pode confirmar e > mostrar o bug introduzido e se o cara ficar quieto, nem mesmo ele desmentindo > vai convencer os paranóicos. Concordo com a dificuldade implicita, mas uma coisa é algo estar la, e ninguém desconfiar que pode haver um comportamento determinístico diferente do que aparentemente um algorítimo se propõe, por hipótese ou insight. Outra coisa é alguém apontar o dedo, e ainda assim pessoas tão ou mais capacitadas quanto as que fizeram, não encontrarem sequer uma hipótese, mesmo sem PoC, e remove-las. > O problema não tem nada a ver com o modelo opensource, mas com alguém > deliberadamente projetar um backdoor. Se foi bem feito vai permanecer ali > para sempre. Certamente ser open source é a vantagem, não o problema. A questão é que não é preciso encontrar, determinar e reproduzir. É identificar a hipótese, mitigar ou desviar. Como se trata um bug, a hipótese é suficiente pra demandar correção/mitigação não é necessário confirmar o PoC, não é preciso reproduzir. -- Patrick Tracanelli FreeBSD Brasil LTDA. Tel.: (31) 3516-0800 316...@sip.freebsdbrasil.com.br http://www.freebsdbrasil.com.br "Long live Hanin Elias, Kim Deal!" - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
>>> Estou postando no meu twitter, http://twitter.com/eksffa, os links mais >>> relevantes. Tem coisa boa la sendo dita, acho bacana uma lida previa pra >>> respaldar opiniões, pessoais e profissionais. >>> >>> O des@ até ofereceu dinheiro se alguém mostrar alguma evidencia. A opinião >>> geral é de incredulidade especialmente pelo codigo estar ai, e ninguém ve >>> nada nele. >> >> O problema é que talvez isso demande não programadores para ver, mas >> cryptanalistas. Pode ser simplesmente uma variação da famosa lei do Arthur C >> Clarke: >> >> "Any sufficiently advanced malice is indistinguishable from stupidity." > > Bom, estamos falando de pessoas como o amigo pessoal do Theo, Bruce Schneier, > o proprio Theo, o Angelos, Niels PRovos e o J. Wright (e até o DJB nas horas > vagas, reconhecidamente da pitaco) Alguns matemáticos por formação e todos os > citados especialistas, em criptografia. Alguns dispensam apresentação > (Schneier, Wright). Uma equipe dessas, deve ser suficiente pra encontrar algo > suspeito se houver ;-) Esse que é o problema, mesmo com os melhores dos melhores disponíveis você não pode garantir que não existe o backdoor. A história já mostrou isso no caso dos ataques diferenciais do DES. A comunidade cientifica levou quase trinta anos pra achar os ataques diferenciais e quando vieram a tona, a NSA disse ja conhecer desde quando o DES foi introduzido em 1977. Nunca foi provado, mas houve esta afirmação. O problema é que o backdoor pode não ter nada a ver com o que é conhecido e disponível na comunidade científica atualmente. Inclusive nem ter nada a ver com o código e ser um zero day critográfico. Eu conversei com o Robert Watson hoje e a discussão foi muito nesse sentido. Se foi realmente bem feito, num tem como detectar. Só o cara que falou é que pode confirmar e mostrar o bug introduzido e se o cara ficar quieto, nem mesmo ele desmentindo vai convencer os paranóicos. O problema não tem nada a ver com o modelo opensource, mas com alguém deliberadamente projetar um backdoor. Se foi bem feito vai permanecer ali para sempre. Jean - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
Eu penso que, nesse caso, foi uma coisa que chamamos de disgressão. Uma cortina de fumaça, para levantar uma desconfiança, mesmo que subjetiva. E como estamos falando de um ativo muito importante, segurança dos BSDs, acho, IMHO, que a estratégia do Theo foi bem acertada. Lembrem-se do que a SCO fez com o desenvolvimento do Linux, fez aquela papagaiada toda para o mundo corporativo desconfiar da origem de partes do código do kernel. O código é aberto, logo, me mostrem onde tem os backdoors, se houver algum vai aparecer, e se não houver, vai ser o pau que matou a cobra, o resto é conversa mole. -- Regularize seu Provedor, Internet pirata é crime. 87 9118 5639 83 9904 2258 Cleber Alves .ılı..ılı. "Observe as estrelas e aprenda com elas." Albert Einstein - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
Em 16/12/2010, às 08:05, Jean Everson Martina escreveu: > >> Pessoal, >> >> Estou postando no meu twitter, http://twitter.com/eksffa, os links mais >> relevantes. Tem coisa boa la sendo dita, acho bacana uma lida previa pra >> respaldar opiniões, pessoais e profissionais. >> >> O des@ até ofereceu dinheiro se alguém mostrar alguma evidencia. A opinião >> geral é de incredulidade especialmente pelo codigo estar ai, e ninguém ve >> nada nele. > > O problema é que talvez isso demande não programadores para ver, mas > cryptanalistas. Pode ser simplesmente uma variação da famosa lei do Arthur C > Clarke: > > "Any sufficiently advanced malice is indistinguishable from stupidity." Bom, estamos falando de pessoas como o amigo pessoal do Theo, Bruce Schneier, o proprio Theo, o Angelos, Niels PRovos e o J. Wright (e até o DJB nas horas vagas, reconhecidamente da pitaco) Alguns matemáticos por formação e todos os citados especialistas, em criptografia. Alguns dispensam apresentação (Schneier, Wright). Uma equipe dessas, deve ser suficiente pra encontrar algo suspeito se houver ;-) -- Patrick Tracanelli FreeBSD Brasil LTDA. Tel.: (31) 3516-0800 316...@sip.freebsdbrasil.com.br http://www.freebsdbrasil.com.br "Long live Hanin Elias, Kim Deal!" - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
> Pessoal, > > Estou postando no meu twitter, http://twitter.com/eksffa, os links mais > relevantes. Tem coisa boa la sendo dita, acho bacana uma lida previa pra > respaldar opiniões, pessoais e profissionais. > > O des@ até ofereceu dinheiro se alguém mostrar alguma evidencia. A opinião > geral é de incredulidade especialmente pelo codigo estar ai, e ninguém ve > nada nele. O problema é que talvez isso demande não programadores para ver, mas cryptanalistas. Pode ser simplesmente uma variação da famosa lei do Arthur C Clarke: "Any sufficiently advanced malice is indistinguishable from stupidity." Jean - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
Em 15/12/2010, às 12:35, Ricardo Ferreira escreveu: > Em 15/12/2010 11:08, Márcio Luciano Donada escreveu: >> Em 15/12/2010 10:49, Zhu Sha Zang escreveu: >>> Não somente OpenBSD, acho que no método de desenvolvimento de toda a >>> comunidade OpenSource. >>> >> Nada haver!!! >> - >> Histórico: http://www.fug.com.br/historico/html/freebsd/ >> Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd >> > Vejam a respsta do pró´prio Theo de Raadt que chutou o balde e liberou o > e-mail private recebido do indivíduo qyue fez estas alegações... > Isto não afeta em nada a comunidade xBSD e a certteza absoluta na integridade > do código. É só um boato... mais nada... > Pessoal, Estou postando no meu twitter, http://twitter.com/eksffa, os links mais relevantes. Tem coisa boa la sendo dita, acho bacana uma lida previa pra respaldar opiniões, pessoais e profissionais. O des@ até ofereceu dinheiro se alguém mostrar alguma evidencia. A opinião geral é de incredulidade especialmente pelo codigo estar ai, e ninguém ve nada nele. -- Patrick Tracanelli FreeBSD Brasil LTDA. Tel.: (31) 3516-0800 316...@sip.freebsdbrasil.com.br http://www.freebsdbrasil.com.br "Long live Hanin Elias, Kim Deal!" - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
quem dera se isso fosse exclusivo do openbsd... imagina o que os militares americanos não fazem... Att. Tiago N. Furbeta Cangere Online Provedor de Internet Ltda. Empresa de Telecomunicações Autorizada SCM/ANATEL tfurb...@cangere.com.br Em 15/12/2010 10:49, Zhu Sha Zang escreveu: > Em 15-12-2010 10:19, mantunes escreveu: >> Se confirmado, seria uma mancha na reputação do OpenBSD. Espero que >> isso seja apenas boato >> >> http://bit.ly/gBamNC >> >> >> > Não somente OpenBSD, acho que no método de desenvolvimento de toda a > comunidade OpenSource. > > Att > > > - > Histórico: http://www.fug.com.br/historico/html/freebsd/ > Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
Em 15/12/2010 11:08, Márcio Luciano Donada escreveu: Em 15/12/2010 10:49, Zhu Sha Zang escreveu: Não somente OpenBSD, acho que no método de desenvolvimento de toda a comunidade OpenSource. Nada haver!!! - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd Vejam a respsta do pró´prio Theo de Raadt que chutou o balde e liberou o e-mail private recebido do indivíduo qyue fez estas alegações... Isto não afeta em nada a comunidade xBSD e a certteza absoluta na integridade do código. É só um boato... mais nada... To colocando aqui na lista ocorpo da resposta do Theo de Raadt para aqueles que não fazem parte da lista do openbsd-security I have received a mail regarding the early development of the OpenBSD IPSEC stack. It is alleged that some ex-developers (and the company they worked for) accepted US government money to put backdoors into our network stack, in particular the IPSEC stack. Around 2000-2001. Since we had the first IPSEC stack available for free, large parts of the code are now found in many other projects/products. Over 10 years, the IPSEC code has gone through many changes and fixes, so it is unclear what the true impact of these allegations are. The mail came in privately from a person I have not talked to for nearly 10 years. I refuse to become part of such a conspiracy, and will not be talking to Gregory Perry about this. Therefore I am making it public so that (a) those who use the code can audit it for these problems, (b) those that are angry at the story can take other actions, (c) if it is not true, those who are being accused can defend themselves. Of course I don't like it when my private mail is forwarded. However the "little ethic" of a private mail being forwarded is much smaller than the "big ethic" of government paying companies to pay open source developers (a member of a community-of-friends) to insert privacy-invading holes in software. From: Gregory Perry To:"dera...@openbsd.org" Subject: OpenBSD Crypto Framework Thread-Topic: OpenBSD Crypto Framework Thread-Index: AcuZjuF6cT4gcSmqQv+Fo3/+2m80eg== Date: Sat, 11 Dec 2010 23:55:25 + Message-ID:<8d3222f9eb68474da381831a120b1023019ac...@mbx021-e2-nj-5.exch021.domain.local> Accept-Language: en-US Content-Language: en-US X-MS-Has-Attach: X-MS-TNEF-Correlator: Content-Type: text/plain; charset="iso-8859-1" Content-Transfer-Encoding: quoted-printable MIME-Version: 1.0 Status: RO Hello Theo, Long time no talk. If you will recall, a while back I was the CTO at NETSEC and arranged funding and donations for the OpenBSD Crypto Framework. At that same time I also did some consulting for the FBI, for their GSA Technical Support Center, which was a cryptologic reverse engineering project aimed at backdooring and implementing key escrow mechanisms for smart card and other hardware-based computing technologies. My NDA with the FBI has recently expired, and I wanted to make you aware of the fact that the FBI implemented a number of backdoors and side channel key leaking mechanisms into the OCF, for the express purpose of monitoring the site to site VPN encryption system implemented by EOUSA, the parent organization to the FBI. Jason Wright and several other developers were responsible for those backdoors, and you would be well advised to review any and all code commits by Wright as well as the other developers he worked with originating from NETSEC. This is also probably the reason why you lost your DARPA funding, they more than likely caught wind of the fact that those backdoors were present and didn't want to create any derivative products based upon the same. This is also why several inside FBI folks have been recently advocating the use of OpenBSD for VPN and firewalling implementations in virtualized environments, for example Scott Lowe is a well respected author in virtualization circles who also happens top be on the FBI payroll, and who has also recently published several tutorials for the use of OpenBSD VMs in enterprise VMware vSphere deployments. Merry Christmas... Gregory Perry Chief Executive Officer GoVirtual Education "VMware Training Products& Services" 540-645-6955 x111 (local) 866-354-7369 x111 (toll free) 540-931-9099 (mobile) 877-648-0555 (fax) http://www.facebook.com/GregoryVPerry http://www.facebook.com/GoVirtual -- Cordialmente, Ricardo Ferreira Telecom, Tecnologia e Segurança da Informação CCDP, CCNP, CCDA, CCNA, MCSE, MCP --- Sotech Soluções Tecnologicas Rua da Alfazema, 761, 1o. andar - 102/103 41820-710 - Caminho das Árvores - Salvador-BA - Brasil Tel : 55 71 3472.9400 Cel : 55 71 9138 4630 Email: ricardo.ferre...@sotechdatacenter.com.br Site: www.sotechdatacenter.com.br Esta mensagem é dirigida apenas ao seu destinatário e pode conter informações confidenciais, não passíveis de divulgação nos t
Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
Em 15/12/2010 10:49, Zhu Sha Zang escreveu: > > Não somente OpenBSD, acho que no método de desenvolvimento de toda a > comunidade OpenSource. > Nada haver!!! - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
Onde tem dinheiro... On Wed, 2010-12-15 at 11:16 -0200, Luiz Otavio O Souza wrote: > On Dec 15, 2010, at 10:49 AM, Zhu Sha Zang wrote: > > Em 15-12-2010 10:19, mantunes escreveu: > >> Se confirmado, seria uma mancha na reputação do OpenBSD. Espero que > >> isso seja apenas boato > >> > >> http://bit.ly/gBamNC > >> > >> > >> > > Não somente OpenBSD, acho que no método de desenvolvimento de toda a > > comunidade OpenSource. > > Não entendi pq isso afetaria a comunidade opensource... como se diz em alguns > lugares, merda acontece... (de quem é a responsabilidade por não ter > conseguido identificar uma backdoor extremamente bem feita e ofuscada ? Você > auditou ou ainda melhor, escreveu cada uma das milhares de linhas código que > rodam no seu computador ?!?? Ninguem esta livre desse problema...) > > No forum do FreeBSD publicaram esse link que eu achei _muito_ interessante: > http://cm.bell-labs.com/who/ken/trust.html > > Luiz > - > Histórico: http://www.fug.com.br/historico/html/freebsd/ > Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd > Antonio Modesto Gerente de TI Praça Getúlio Vargas, 77 – Sala 308 – Centro Santo Antônio do Monte – MG – CEP: 35560-000 (37) 3281-2800 isimp...@isimples.com.brhttp://www.isimples.com.br Aviso:Esta mensagem e quaisquer arquivos em anexo podem conter informações confidenciais e/ou privilegiadas. Se você não for o destinatário ou a pessoa autorizada a receber esta mensagem, por favor, não leia, copie, repasse, imprima, guarde, nem tome qualquer ação baseada nessas informações. Notifique o remetente imediatamente por e-mail e apague a mensagem permanentemente. Atenção: embora a Isimples Telecom, tome seus cuidados para garantir a ausência de vírus neste e-mail, a empresa não se responsabiliza por quaisquer perdas ou danos decorrentes do uso da mensagem e seus anexos. A segurança e ausência de erros na transmissão do e-mail não podem ser garantidas, já que as informações podem ser interceptadas, corrompidas, perdidas, destruídas, atrasadas, chegarem incompletas, ou, ainda, conter vírus. Recomendamos checar se o e-mail e seus anexos contém vírus, uma vez que nem a Isimples Telecom ou o remetente se responsabilizam pela transmissão destes. - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
On Dec 15, 2010, at 10:49 AM, Zhu Sha Zang wrote: > Em 15-12-2010 10:19, mantunes escreveu: >> Se confirmado, seria uma mancha na reputação do OpenBSD. Espero que >> isso seja apenas boato >> >> http://bit.ly/gBamNC >> >> >> > Não somente OpenBSD, acho que no método de desenvolvimento de toda a > comunidade OpenSource. Não entendi pq isso afetaria a comunidade opensource... como se diz em alguns lugares, merda acontece... (de quem é a responsabilidade por não ter conseguido identificar uma backdoor extremamente bem feita e ofuscada ? Você auditou ou ainda melhor, escreveu cada uma das milhares de linhas código que rodam no seu computador ?!?? Ninguem esta livre desse problema...) No forum do FreeBSD publicaram esse link que eu achei _muito_ interessante: http://cm.bell-labs.com/who/ken/trust.html Luiz - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
Que comunidade opensource? Se isso realmente aconteceu foi em um driver binário (criptografado) 2010/12/15 Zhu Sha Zang : > Em 15-12-2010 10:19, mantunes escreveu: >> Se confirmado, seria uma mancha na reputação do OpenBSD. Espero que >> isso seja apenas boato >> >> http://bit.ly/gBamNC >> >> >> > Não somente OpenBSD, acho que no método de desenvolvimento de toda a > comunidade OpenSource. > > Att > > - > Histórico: http://www.fug.com.br/historico/html/freebsd/ > Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd > > -- William Grzybowski -- Agência Livre - www.agencialivre.com.br Curitiba/PR - Brasil - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
Em 15-12-2010 10:19, mantunes escreveu: > Se confirmado, seria uma mancha na reputação do OpenBSD. Espero que > isso seja apenas boato > > http://bit.ly/gBamNC > > > Não somente OpenBSD, acho que no método de desenvolvimento de toda a comunidade OpenSource. Att signature.asc Description: OpenPGP digital signature - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
[FUG-BR] FBI teria pago para colocar Backdoors no ipsec do OpenBSD
Se confirmado, seria uma mancha na reputação do OpenBSD. Espero que isso seja apenas boato http://bit.ly/gBamNC -- Marcio Antunes Powered by FreeBSD == * Windows: "Where do you want to go tomorrow?" * Linux: "Where do you want to go today?" * FreeBSD: "Are you, guys, comming or what?" - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
