Hvem stoler du *nu* på ?

Af 21

Jeg egner mig efterhånden ikke til at kommentere på IT-sikkerhed og overvejer seriøst om jeg bare helt skal lade være...

Hvis jeg havde været USAs forsvarsminister og NSAs direktør under MUS samtalen indrømmede at de aldrig havde overvejet at få en "associeret medarbejder" placeret i Junipers softwareudvikling ville jeg fyre ham på stedet for kriminel inkompetence og uduelighed med skatteydernes penge: NSAs budget er lidt over 10 mia USD, noget der ligner 70 mia kroner.

Fri adgang til Junipers udstyr har sparet dem for rigtig mange millioner i arbejde.

Hvordan ser sådan en "associeret medarbejder" ud i virkeligheden ?

På CV'et har han en top-notch phd, har publiceret nogle crypto-papers ingen forstår.

Derefter har han arbejdet i et eller andet obskurt startup som lavede "klassificeret software."

Firmaets hjemmeside existerer, har et billede af et jagerfly og ikke ret mange detaljer.

En referenceopringning til direktøren giver fantastiske anmeldelser: "Vi gjorde alt hvad vi kunne for at holde på ham, men hans kæreste ville absolut hjem til Californien, så det var hende eller os og vi tabte. Hils ham mange gange og sig at han endelig må komme ind og hilse hvis han kommer forbi!"

Han har stadig nogle stock-options i det gamle firma.

...som nogen tid senere - noget med en overtagelse eller ny investor - bliver vekslet til en stak kolde kontanter.

Måske bliver han i jobbet, men der er måske penge nok til at han heller vil prøve noget helt nyt.

Senere igen er der ingen der kan finde ud af hvor han blev af...

Samlet pris for NSA ? En årsløn.

Direktørene for Kinas, Ruslands, Israels og Englands respektive modstykker ville være ligeså dybt inkompetente, men for relativt set lavere bunker skatteyderpenge.

Nej, jeg blev ikke overrasket over Junipers bagdøre og jeg er, i modsætning til dem selv, 100% sikker på at der er tilsvarende bagdøre i Cisco, Apple, Intel, AMD, Microsoft, Google, Oracle og IBMs software.

Det ville simpelthen være for dumt, set fra NSAs synspunkt, hvis der ikke var.

De smarteste af disse firmaer har samarbejdet med NSA og selv designet bagdørene, så de ved hvor de er og hvad de kan, men i så fald forbyder et "National Security Letter" dem at sige eller gøre noget som helst som kan afsløre dette samarbejde.

Men samarbejder eller ej, der er ingen måde man kan stole på at softwaren fra disse firmaer kan holde på en hemmelighed.

Enten har du kildeteksten til det hele og har kompileret det hele selv, eller også må du finde en anden måde at holde på dine hemmeligheder.

Papir og blyant er et godt sted at starte.

phk

Kommentarer (21)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
#1 Ulrik Suhr

Dette vil på en gang medføre at man SKAL benytte opensource i større omfang i det offentlige. Det er reelt ikke muligt for en producent med hovedsæde i USA at udtale sig om sikkerhed. Dette vil medføre at de driftige hurtigt vil oprette alternativer til produkter fra USA måske i Danmark. Eller også den helt paranoide løsning. At der opfindes en browser/plugin som kryptere/dekryptere ens data profil. Alle vil begynde at bruge vpn servere etc. som standard måske er det med i ens internet abonnement...

Nogle gange skal det først blive meget slemt før det bliver bedre.

  • 6
  • 0
#3 Claus Bruun

Godt nok har man den fulde kildekode, men med systemernes størrelse er der meget få, der er i stand til at gennemgå koden og føre indgangskontrol på al ny kode i sit system. Man ser også, at de fleste idag bruger pakke managers til disse systemer istedet for at kompilere fra bunden..

Så hvordan kan vi undgå at der ikke er nogen, som comitter en eller anden lille smart ting i et hjørne af systemet, som ingen ser.

Og i praksis ved jeg som bruger ikke, om nogen i et open source community har fået en mundkurv på... ?

Og så er der hele hardware delen, hvor firmware kan alt muligt...

God jul

  • 5
  • 0
#4 Peter Christiansen

Er meget godt, men det kører alligevel på hardware man ingen indsigt har i.

Ja så skal man også have koderne til fpga'er, asic's, microcontrollere osv. der sidder i den hardware man ønsker at auditere. Det kan man nok godt glemme af få udleveret, med mindere det også er opensource?

Ellers er den eneste mulighed vel open hardware, men tror der er langt tid til at der kommer noget brugbart fra den kant mht. routere og andet netværksudstyr.

  • 4
  • 0
#5 Kenn Nielsen

g i praksis ved jeg som bruger ikke, om nogen i et open source community har fået en mundkurv på... ?

Og det undrer lidt hvorfor crypto-funktioner pinedød skal være aes med max 256 bit nøgle.

Hvis jeg vil kommunikere sikkert med "min dims" via 4677 bits twofish - eller anden algoritme, som ikke er hw-optimeret.....Hvorfor pokker er det så ikke muligt at definere nøglelængden som en parameter ? Jeg mener...bare fordi jeg vælger en algoritme som trækker tænder ud af CPUen med min latterligt lange nøgle, er det vel ikke så usikkert at kodeskriverne er nødt til at afskære brugeren fra dette valg ?

Hvilket giver mig grund undren. Og når man undres over sikkerhedssoftware, er paranoia lige om hjørnet.

Nogen gange mistænker jeg at TrueCrypt blev jordet fordi brugeren her havde for mange kombinationsvalg til at det var godt for "staters sikkerhed"....

K

  • 5
  • 1
#7 Jn Madsen

På en tidspunkt fløj der rygter rundt om, at Cisco havde skilt Huawei's router-software ad. Det viste jeg at være et rå kopi af Cisco's IOS,- men med kommentarer fra Huawei's programmører der fumlede rundt i sovsen.

Gad vide om Huawei fik ryddet op,- eller de importerede NSA's gratis funktionaliteter :D

Man skal nok som udgangspunkt tro på, at al elektronik og software er kompromitteret.

  • 4
  • 0
#8 Sune Marcher

Nogen gange mistænker jeg at TrueCrypt blev jordet fordi brugeren her havde for mange kombinationsvalg til at det var godt for "staters sikkerhed"..

TrueCrypt blev ikke jordet, folkene bag mistede gejsten - det er imponerende de holdt interessen for et hobbyprojekt af den kaliber i 10 år.

Deres exit var lidt sensationel, men der er ikke det store konspirationelle bag det. Det har hele tiden været velkendt at TC kun er sikkert mod "cold attacks", og ikke memory dumps eller andet på et kørende system, og at der var risiko for at opsnappe key material fra paging/hibernation file, hvis du ikke kørte med system-partition kryptering.

Med nyere Windows-version (UEFI boot) er system-partition kryptering ikke længere muligt, og teamet bag TC havde ikke tid/overskud/mulighed/whatever for at supporte det, og så var det tid til at kaste håndklædet i ringen, efter udviklings-intensiteten gennem en årrække var aftaget.

Occams Razor siger at det nok nærmere er arbejde og familie-dannelse end NSA-pres, der gjorde udfaldet... og ellers var der sgu nok stadig udvikling og downloads.

  • 8
  • 0
#10 Martin Sørensen

Et andet problem med at bygge fra kildekode er at udover at man skal have gennemstuderet og forstået den kildekode man vil bygge (eller at det er gjort af nogen man stoler på), så er man i princippet også nødt til at bygge sin compiler selv da denne sagtens kan indsætte bagdøre i det færdige output og så er man lige vidt.

System-partition kryptering er forøvrigt stadig muligt med Windows 10 så længe man kører GPT, men det åbner muligvis op for pre-boot kodeeksekvering? I så fald skal der laves en afvejning af hvad der er værst.

  • 2
  • 0
#11 Bjarke Haack Jørgensen

PHK - IT-verdenes bonderøv.

Følg ham i en ny serie på DR2 hvor han laver sit eget IT-udstyr helt fra bunden. Her er der ingen skadelige tilsætningsstoffer (læs: bagdøre fra 3-letter organizations), kun selvudviklet kildekode og hjemmestrikket hardware.

Kommer i det nye år.

  • 22
  • 1
#14 Anders Lind

Ja, bestemt! PHK har mange gode budskaber, humor og han kan formidle! @DR: Kan I ikke i det mindste lave et pilotafsnit med PHK? :-) Harddisken=Nyheder, So Ein Ding=Gadgets og Trends, PHK=Politik,Samfund, Verden,IT indhold=refleksion, interview med beslutningstagere og fagfolk, anekdoter og historie

  • 0
  • 0
#15 Claus Bruun

Det kunne blive et sjovt og lærerigt program.

Man kunne også gøre det omvendt og stille og roligt fjerne komponeneter, man ikke kan stole på og sagligt forklare hvorfor...

Og så kunne man ende med den rå kasse og skruer og møtrikker og lidt kabler...:-)

  • 0
  • 0
#20 Bent Jensen

Nogen som ved om de overholder kravene til opbevaring af Private Data, de kræver jo et login for at deres telefoner virker som beskrevet, og en licensaftale som man er tvunget til at klikke på for at få telefonen til at virker kan jo ikke overtrumfe EU's data love ? Har lige købt en Edge og deres software hænger mig allerede langt ud af halsen så overvejer enten at root eller tilbagelevere den på grund af deres licensbetingelser.

Går så tilbage til enten min rootet Oneplus med CM eller den nye Google 5X, synd for det er et godt stykke hardware. PHK er du blevet tilfreds med din nye telefon ?

  • 0
  • 0
Log ind eller Opret konto for at kommentere
Job fra Jobfinder
Tip redaktionen