Разработчик OpenBSD обвинил ФБР во внедрении бэкдоров в криптографические модули системы

Разработчик OpenBSD обвинил ФБР во внедрении бэкдоров в криптографические модули системы

Руководитель компании GoVirtual Грегори Перри, который 10 лет назад принимал непосредственное участие в разработке криптографической инфраструктуры ОС OpenBSD, на днях заявил, что государственные заказчики платили программистам-исполнителям за внедрение бэкдоров и уязвимостей в стэк IPSec этой операционной системы. Соответствующая информация была изложена в электронном письме, которое г-н Перри направил на имя нынешнего главы проекта OpenBSD Тео де Раадта; последний, в свою очередь, решил предать письмо огласке.



Поскольку письмо невелико, имеет смысл привести его полностью.


"Привет, Тео," - пишет г-н Перри. - "Уже довольно много времени прошло с момента нашей последней беседы. Возможно, ты помнишь, что когда-то я был главным технологом NETSEC и распоряжался финансированием проекта криптосистемы OpenBSD. В это же время я оказывал услуги консультанта Федеральному бюро расследований и, в частности, так называемому центру технической поддержки GSA - криптологическому проекту, который занимался внедрением средств удаленного управления и механизмов депонирования ключей для смарт-карт и прочих аппаратных вычислительных технологий.


Недавно истек срок действия моей подписки о неразглашении, которую я давал ФБР. Я хотел бы поставить тебя в известность о том, что бюро внедрило в криптографическую инфраструктуру OpenBSD несколько бэкдоров, а также ряд механизмов, позволяющих осуществлять успешные атаки на шифросистему по побочным каналам. В первую очередь это было сделано для того, чтобы обеспечить мониторинг защищенных межсайтовых коммуникаций с использованием технологий VPN, которые активно продвигались родительской организацией ФБР - ведомством прокурорского надзора EOUSA. Джейсон Райт и некоторые другие разработчики непосредственно отвечали за создание и установку этих бэкдоров, и я бы советовал как следует изучить весь код, который был написан им и его коллегами во времена NETSEC.


Не исключено, что именно поэтому ваш проект лишился поддержки фонда DARPA: скорее всего, они заподозрили или каким-то образом узнали, что эти средства удаленного управления действительно существуют, и не захотели рисковать.


Также именно здесь следует искать причину того, что некоторые федеральные агенты и их гражданские помощники начали активно продвигать идею использования OpenBSD при построении виртуальных вычислительных сред и систем их защиты. Например, Скотт Лоуи, который считается авторитетным специалистом в соответствующих кругах, состоит на содержании у ФБР; недавно он выпустил несколько руководств по использованию виртуальных машин на OpenBSD при развертывании корпоративных решений от VMWare.


C наступающим Рождеством...


Грегори Перри, генеральный директор GoVirtual Education"


Хотя на данный момент заявление главы GoVirtual остается лишь заявлением, которое ничем не подтверждено, сказанное им уже вызвало озабоченность у многих специалистов по защите информации.


В распоряжении журналиста The Register оказалось несколько комментариев относительно содержания письма. В частности, бывший агент ФБР И.Дж. Хилберт, в сферу ответственности которого входили вопросы киберпреступности, заявил, что бюро действительно предпринимало попытки внедрить бэкдоры в программное обеспечение с открытым кодом, однако все эти эксперименты окончились неудачей. В свою очередь, специалист Крис Уайсопл, занимающий ныне пост главного технолога компании Veracode, отметил, что, "если уж OpenBSD со всеми ее внутренними механизмами контроля и аудита была скомпрометирована, то что говорить обо всех остальных системах - Linux, Windows, FreeBSD, OS X? Вряд ли ФБР ограничилась лишь этой малораспространенной ОС..."

Сотрудники против: 52% компаний буксуют с переходом на тонкие клиенты

Переход на тонкие клиенты в российских компаниях чаще всего тормозит вовсе не техника, а люди. По данным опроса среди зрителей и участников эфира AM Live «Тонкий клиент: инструмент создания цифровых корпоративных рабочих мест», 52% компаний не могут полноценно перейти на такую модель из-за сопротивления сотрудников, привыкших к обычным компьютерам.

На этом фоне особенно показательно выглядит другая цифра: только 25% компаний уже используют удалённые рабочие места через десктопы или тонкие клиенты.

Иначе говоря, три четверти по-прежнему опираются либо на офисные компьютеры, либо на добросовестность сотрудников, которые работают с собственных устройств. А это, как отмечали участники дискуссии, оставляет бизнес в довольно уязвимом положении: данные и учётные записи оказываются размазаны по множеству конечных точек, и каждая из них потенциально может стать входом в корпоративную сеть.

Идея тонких клиентов как раз в обратном: рабочее место у сотрудника есть, но сами данные и основные процессы остаются внутри защищённой инфраструктуры компании. Директор департамента управления продуктовым портфелем Getmobit Василий Шубин по этому поводу высказался довольно жёстко: когда сотрудникам разрешают работать с личных устройств, компания фактически перекладывает риск на конечного пользователя.

Впрочем, дело не только в привычках. Второй по популярности барьер — поддержка периферии, на неё пожаловались 46% опрошенных. Дальше причины идут уже с заметным отрывом: 32% считают проблемой высокую стоимость внедрения, 28% говорят о несовместимости приложений, 26% — о нехватке экспертизы у ИТ-команд, ещё 22% упомянули ограничения сети и каналов связи.

Некоторых экспертов такой высокий результат у пункта с периферией удивил, но в «Лаборатории Касперского» ничего необычного в этом не увидели. Старший менеджер по продукту Kaspersky Thin Client Михаил Левинский объяснил, что вопрос здесь упирается не только в сами устройства, но и в зрелость поддержки: у кого-то может быть старый монитор или нестандартная периферия, и важно, насколько быстро вендор готов на такие запросы реагировать. При этом, по его словам, сами операционные системы, конечно, должны нормально поддерживать проброс периферийных устройств.

Похожую мысль озвучили и в Uveon — Облачные технологии. Там обратили внимание, что часть проблем, которые пользователи приписывают именно тонким клиентам, на деле относится шире — к тому, как в компании вообще выстроена инфраструктура рабочих мест. Иными словами, не всё здесь упирается в «железку»: многое решается на уровне софта и архитектуры.

При этом в обсуждении прозвучала и осторожно позитивная нота. Генеральный директор «АМ Медиа» Илья Шабанов заметил, что заметно сократилась доля тех, кто считает главным препятствием именно стоимость внедрения. Это может говорить о том, что рынок таких решений в России постепенно взрослеет, а сами технологии перестают восприниматься как что-то слишком дорогое и экзотическое.

RSS: Новости на портале Anti-Malware.ru