La NSA chiese a Linus Torvalds di inserire una backdoor su Linux/GNU

typo

al Parlmanento Europeo

non serve chiedere a torvalds, basta pagare un'azienda che obbliga a usare driver closed... tipo nvidia. Ora tutti capiranno la battaglia contro i driver closed su linux

Infatti i kernel vengono regolarmente ricompilati da fondazioni/società che rilasciano le distribuzioni.
Le patch di Redhat sono un esempio eclatante (e storico, negli anni hanno contribuito in modo sostanziale a migliorare il kernel stesso) di questo processo.
Ma non solo, il kernel è solo una parte del sistema, eventuali backdoors potrebbero essere inserite in qualche modulo lasciando il kernel del tutto intonso.

Il problema però è un altro e imho non è prettamente di natura tecnica, ricompilare un kernel è possibilissimo e fino a una decina di anni fa era la prassi, oggi è una cosa di nicchia estrema che la gran parte dei sistemisti non sa fare, per quanto possa sembrare assurdo questa è la realtà.
A prescindere poi dalla capacità individuale dei tecnici in molti casi non è proprio possibile farlo per poter garantire la riproducibilità dei sistemi, oppure per aderenza a determinate specifiche.

Un esempio banale, prendete una RedHat e ci installate Oracle Enterprise, pagate i vostri 50k euro tra licenza e supporto, personalizzate il kernel e al primo problema e invio dei dettagli vi ritrovate il ticket chiuso come non valido perchè l'OS non rispetta le specifiche, non mi sembra molto vantaggioso...

Quello che voglio dire è che sulla carta tutto si può fare, nella realtà però ci sono dei vincoli da rispettare che spesso sono bloccanti.

No, è Linus quando, in un'aula universitaria piena, manda a quel paese nvidia.

Linus

Ho la vaga sensazione che la risposta di Linus Torvalds sia stata: "Andatevene a quel paese" o una cosa del genere

mi ricordo che quando parlai di implicazioni della NSA con backdoor nel kernel linux tutti subito a dire "eh te lo ha detto tuo cuggggino " "si come no" etc. dove siete? siete ancora così convinti che sia impossibile? (no perchè a questo punto è probabile)

Vi ripeto, su Linux esistono tutti gli strumenti e le procedure affichè una cosa del genere non accada ma...

http://it.wikinews.org/wiki/Scopert...bian_di_OpenSSL

Vi ricordate questo?
Fu il mantainer del del pacchetto a commentare le righe di codice incriminate, seppur fuorviato da tool di analisi del codice automatici e questo bug è rimasto in giro per ben 2 anni.

Quindi è possibile farlo, e l'unico punto dove lo vedo fattibile è in fase di distribuzione del binario (come per OpenSSL), i controlli funzionano, ma possono essere tardivi o qualcosa potrebbe sempre sfuggire.

A me invece pare possibilissimo inserire un piccolo bug ad arte. Prima che venga scoperto possono passare mesi. Anche perchè altrimenti non esisterebbero mai bug di nessun tipo e invece esistono e a volte vengono scoperti dopo anni.

Poi una volta che il bug è stato scoperto basta dire che ci si è sbagliati, il bug è involontario ed è tutto a posto.

Basta qualcosa di estremamente sottile, un più anzichè un meno in una complessa formula di crittografia tanto per indebolire l'algoritmo.

"Vociferava" ?, no è assolutamente certo:

http://www.lffl.org/2013/10/ubuntu-...rd-austria.html

Tipo?

Si può ricavare benissimo il comportamento e scoprire falle/backdoor BENISSIMO senza avere accesso ai sorgenti.

E' più difficile certo, ma non impossibile come qualcuno vuole far credere.

Dopodiché non l'ha prescritto il dottore che le backdoor debbano stare per forza dentro il kernel...

Linux e l'open source ci hanno forse salvato da quanto hanno fatto NSA, Google e co.? No.

Ad oggi chi ha accesso alle versioni custom Android delle singole case, tipo Samsung?