[TimmyTurner]

ولی اگه همچین چیزی تو گنو/لینوکس پیدابشه چی میشه. بعید میدونم چون اینچا دیگه پای هیچ شرکتی نمیتونه وسط باشه که بخواد پول بگیره و در پشتی بزاره، اما اگه بشه تمام شهرت و اعتبار ریچارد استالمن زیر سوال میره!

[مهمان]

سلام
تاپیک ستاره بارون شد! :d
شما تا چه اندازه این مطلب رو قبول دارید من هر چی فکر میکنم می بینم که از لحاظ منطقی غیر فابل باور هست آخه روی چه حسابی ده سال پیش که حتی خیلی ها اصلا از خود گنو /لینوکس استفاده نمی کردند fbi بیاد توی openbsd که کمتر شناخته شده بود (توی ده سال پیش )حتی ممکن بود که پروژه شکست بخوره همچین هزینه ای بکنند معلوم نیست روی چه حسابی همچین کاری کردند (به نظر من برای اینکار دلیل بیشتری نسبت به آنده نگری و احتمال لازمه) یک چیز دیگه مگه fbi هر ۱۰ سال یکبار اطلاعاتش رومنتشر می کنه اصلا چرا خود fbi منتشر نکرده یکی دیگه منتشر کزده من که به کل قضیه بد بینم

سلام
یک چیز رو فراموش کردم بگم که یک نرم افزار آزاد چه قدر باید کم کاربر باشه که توی این 10 سال نمی گم چندبار ولی حداقال یکبار هم کدش از اول نوشته نشه یعنی این نرم افزار توی این چند سال اصلا کدش دستکاری نشده؟ من که باور نمی کنم!

[مهمان]

یک چیز دیگه مگه fbi هر ۱۰ سال یکبار اطلاعاتش رومنتشر می کنه اصلا چرا خود fbi منتشر نکرده یکی دیگه منتشر کزده من که به کل قضیه بد بینم

موضوع اینه که شخصی که ادعا می کنه برای FBI کار می کرده تعهد داشته تا ده سال اسرار مربوط به کارش رو فاش نکنه. حالا طرف اومده میگه چون این تعهدم منقضی شده خواستم بهتون خبر بدم.

[navi]

سلام
داستان یه جورایی به نظر من بوداره .
۱ - در صورتی که بهر دلیل یک نهاد امنیتی لازم بدونه چنین کاری انجام بده مامورش مستقیم این کار رو انجام می ده و نه شخص دیگری دوستان بدونن این نهادها آدمهای حرفه ای کم ندارند
۲ - گیریم که این کار انجام شده باشه به همین روش ::::یعنی قضیه بسیار مهم بوده .:::: پس آدمی که این انداه دهن لق باشه به اینجای کار که به لو رفتن برسه نخواهد رسید
۳ - گیریم که کلا کار انجام شده و هر جوری هست یه نفر کدها رو دستکاری کرده.
یه پرسش توی ذهن هر کس که چند سالی با کامپیوتر و امنیت اون کار کنه می دونه ::>
آدمهای زیادی برای این سیستم عامل دندون تیز می کنند تا روش هر جور هست یه باگ پیدا کنند
پس دور از ذهن نیست که این کدها هم لو برن
۴ - گیریم که کدها بوده
یعنی هیچ کسی ندیده این کدها رو ؟
به نظر جور در نمیاد ..........

[مهمان]

حتی اگر backdoor هم درست باشه، یادمون نره OpenBSD هنوز هم امن‌ترین سیستم‌عامل هست و با این‌جورچیزا در حد لینوکس نمیاد پایین.

[bsdlinux]

حتی اگر backdoor هم درست باشه، یادمون نره OpenBSD هنوز هم امن‌ترین سیستم‌عامل هست و با این‌جورچیزا در حد لینوکس نمیاد پایین.

به نظر من امنیت BSD ها و گنو/لینوکس خیلی به هم وابسته است... شاید مثلا OpenBSD از لحاظ کرنل و اجزای سیستم عامل با وسواس شدید طراحی شده باشد و به تنهایی به هیچ وجه نفوذ پذیر نباشد ولی خب در نهایت اگر قرار است یک web-server بشود سرور همان آپاچی است که در گنو/لینوکس است. اکثر سرور های unix-like ها خب یکی هستند. mysql همان است openldap همان است همه چیز همان است... گنو/لینوکس هم نشان داده که فوق العاده امن است و در کاربرد های خیلی حساس مثل سرور ها و فایروال ها و ... کاملا امن است...

یک گنو/لینوکس خالی بدون هیچ سرویسی نصب کنید.. درست مثل OpenBSD غیر قابل نفوذ است... نفوذ از باز شدن پورت ها و سرویس ها صورت میگیرد که سرور ها یکی است...

نمیشود که مثلا آپاچی یا sendmail در گنو/لینوکس باگ امنیتی داشته باشد ولی در openbsd نداشته باشد. کرنل و اجزای سیستم عامل هم که هوش مصنوعی ندارند که سورس کد سرور ها رو بررسی کنند... به همین سادگی...

حال فایروال و ipsec stack و ... متفاوت است. مثل فلان سیستم عامل pf دارد و فلان سیستم عامل iptables. جفتشان هم یک کار انجام میدهند و امن هستند... یا مثلا فلان سیستم عامل ipsec stack مال openswan را استفاده میکند و سیستم عامل دیگر یک ipsec stack دیگر... مگر تفاوت در اینها باشد... که openswan و iptables هم در کاربرد های حساس استفاده میشوند و مشکلی ندارند

[navi]

سلام
نه یه جاهایی بحث روی خود سیستم عامله مثلا LINUX . خود لینوکس یه سری اشکالات ساختاری داشت یکی دوسال پیش که کلی اکسپلویت مخرب روش اومد.
از بحث دور نشیم .به نظر شما ممکنه این ادعا درست باشه ؟ چطوه یکم علمی بحث کنیم و منطقی ؟

[r_m1232002]

شاید مثلا OpenBSD از لحاظ کرنل و اجزای سیستم عامل با وسواس شدید طراحی شده باشد و به تنهایی به هیچ وجه نفوذ پذیر نباشد ولی خب در نهایت اگر قرار است یک web-server بشود سرور همان آپاچی است که در گنو/لینوکس است. اکثر سرور های unix-like ها خب یکی هستند. mysql همان است openldap همان است همه چیز همان است... گنو/لینوکس هم نشان داده که فوق العاده امن است و در کاربرد های خیلی حساس مثل سرور ها و فایروال ها و ... کاملا امن است...

فکر می کنم واقعیت با آن چیزی که فکر می کنید کمی تفاوت داشته باشد. توسعه دهندگان OpenBSD حتی در این زمینه نیز متفاوت با دیگر سیستم عامل ها عمل کرده اند. من به دو نکته که از آنها اطلاع دارم اشاره می کنم:
* پروژه OpenBSD از کامپایلر gcc که توسط خود آنها تغییر یافته است و از نظر امنیتی تقویت شده استفاده می کنند. کامپایلر مورد نظر اجازه استفاده از برخی توابع که کم امنیت محسوب می شوند را نمی دهد و کد را از برخی جنبه های امنیتی بررسی می کند. به این ترتیب پکیج هایی که برای این سیستم عامل کامپایل می شوند تفاوت هایی با نمونه های معمول در توزیع های لینوکس دارند که موجب می شود امن تر باشند. درست است که ظاهرا لینوکس و OpenBSD از یک سرویس دهنده وب استفاده می کنند اما پکیج موجود در OpenBSD قاعدتا باید امنیت بیشتری داشته باشد.
* OpenBSD در برخورد با برخی سرویس ها به شکلی محتاط تر از سایر سیستم عامل ها عمل می کند تا امنیت بیشتری را فراهم نماید. به طور مثال apache در OpenBSD به صورت پیش فرض Chroot شده است که موجب می شود امنیت بیشتری را در مقایسه با Apache پیش فرض توزیع های لینوکس داشته باشد.

هرچند که بحث در اینجا در مورد مقایسه برتری سیستم عامل ها نیست و من فقط قصد داشتم از برداشت اشتباه جلوگیری شود.

در مورد احتمال صحت این ادعا نیز فقط می توان صبر کرد تا ببینیم چه خواهد شد اما همان طور که در اولین پست خود در این تاپیک نیز اشاره کردم مشخص شده است که می توان کد مخرب را به شکلی در کد مخفی نمود که حتی با بررسی های دقیق داوران مسابقه نیز شناخته نشود!

[مهمان]

حتی اگر backdoor هم درست باشه، یادمون نره OpenBSD هنوز هم امن‌ترین سیستم‌عامل هست و با این‌جورچیزا در حد لینوکس نمیاد پایین.

چرا \bsd امن تره؟

[مهمان]

نکته ای جالب:

کد :

List:       openbsd-tech
Subject:    Allegations regarding OpenBSD IPSEC
From:       Theo de Raadt <deraadt () cvs ! openbsd ! org>
Date:       2010-12-14 22:24:39
Message-ID: 201012142224.oBEMOdWM031222 () cvs ! openbsd ! org
[Download message RAW]

I have received a mail regarding the early development of the OpenBSD
IPSEC stack.  It is alleged that some ex-developers (and the company
they worked for) accepted US government money to put backdoors into
our network stack, in particular the IPSEC stack.  Around 2000-2001.

Since we had the first IPSEC stack available for free, large parts of
the code are now found in many other projects/products.  Over 10
years, the IPSEC code has gone through many changes and fixes, so it
is unclear what the true impact of these allegations are.

The mail came in privately from a person I have not talked to for
nearly 10 years.  I refuse to become part of such a conspiracy, and
will not be talking to Gregory Perry about this.  Therefore I am
making it public so that
    (a) those who use the code can audit it for these problems,
    (b) those that are angry at the story can take other actions,
    (c) if it is not true, those who are being accused can defend themselves.

Of course I don't like it when my private mail is forwarded.  However
the "little ethic" of a private mail being forwarded is much smaller
than the "big ethic" of government paying companies to pay open source
developers (a member of a community-of-friends) to insert
privacy-invading holes in software.

----

From: Gregory Perry <[email protected]>
To: "[email protected]" <[email protected]>
Subject: OpenBSD Crypto Framework
Thread-Topic: OpenBSD Crypto Framework
Thread-Index: AcuZjuF6cT4gcSmqQv+Fo3/+2m80eg==
Date: Sat, 11 Dec 2010 23:55:25 +0000
Message-ID: <8D3222F9EB68474DA381831A120B1023019AC034@mbx021-e2-nj-5.exch021.domain.local>
Accept-Language: en-US
Content-Language: en-US
X-MS-Has-Attach:
X-MS-TNEF-Correlator:
Content-Type: text/plain; charset="iso-8859-1"
Content-Transfer-Encoding: quoted-printable
MIME-Version: 1.0
Status: RO

Hello Theo,

Long time no talk.  If you will recall, a while back I was the CTO at
NETSEC and arranged funding and donations for the OpenBSD Crypto
Framework.  At that same time I also did some consulting for the FBI,
for their GSA Technical Support Center, which was a cryptologic
reverse engineering project aimed at backdooring and implementing key
escrow mechanisms for smart card and other hardware-based computing
technologies.

My NDA with the FBI has recently expired, and I wanted to make you
aware of the fact that the FBI implemented a number of backdoors and
side channel key leaking mechanisms into the OCF, for the express
purpose of monitoring the site to site VPN encryption system
implemented by EOUSA, the parent organization to the FBI.  Jason
Wright and several other developers were responsible for those
backdoors, and you would be well advised to review any and all code
commits by Wright as well as the other developers he worked with
originating from NETSEC.

This is also probably the reason why you lost your DARPA funding, they
more than likely caught wind of the fact that those backdoors were
present and didn't want to create any derivative products based upon
the same.

This is also why several inside FBI folks have been recently
advocating the use of OpenBSD for VPN and firewalling implementations
in virtualized environments, for example Scott Lowe is a well
respected author in virtualization circles who also happens top be on
the FBI payroll, and who has also recently published several tutorials
for the use of OpenBSD VMs in enterprise VMware vSphere deployments.

Merry Christmas...

Gregory Perry
Chief Executive Officer
GoVirtual Education

"VMware Training Products & Services"

540-645-6955 x111 (local)
866-354-7369 x111 (toll free)
540-931-9099 (mobile)
877-648-0555 (fax)

<!-- m --><a class="postlink" href="http://marc.info/?l=openbsd-tech&m=129236621626462&w=2">http://marc.info/?l=openbsd-tech&m=129236621626462&w=2</a><!-- m -->