Vlákno názorů k článku
OpenBSD 6.9 přináší podporu pro Apple M1 a umožňuje vypnout video vstupy od ITFUN - OpenBSD nie je zlý projekt - vzišlo z...

Ty musis mit hodne spatne spani...

To Bobinnho. Spím veľmi dobre, pretože čo bolo v mojich silách ohľadne zabezpečenia svojich počítačov - UROBIL SOM MAXIMUM! Ak, je čo i len nepatrná šanca zvýšiť zabezpečenie svojho počítača, tak túto šancu využijem. Možno sa do mojich počítačov dá nabúrať, ale ja som spravil MAXIMUM preto, aby sa to nemohlo stať, a preto spím kľudne.

Napíšu to jinak: to, že má nějaký projekt 100% otevřený zdrojový kód, neznamená, že tento kód je 100% času pod 100% kompletní/komplexní kontrolou jeho bezpečnosti. Ano, já si klidně mohu sednou a zkontrolovat každý jednotlivý bajt svého linuxového systému, zdali je v pořádku, ale ruku na srdce, tohle nikdy nikdo na této planetě neudělal. Jedinou reálnou výhodou tak je, že s otevřeným kódem je málokdo takovej blb, aby ho záměrně zahnojoval chybami. Jako ti minnesoťáci. V binárních blobech se něco takového schová podstatně snadněji a s podstatně menším rizikem, že to bude třetí stranou odhaleno.

Presne tak, ako píšete pán Ježek.

Ale vy neviete ze ten HW sam o sebe nema v sebe dieru. Dokonca viete ze ju ma tak co riesite s binarnymi ovladacmi? Intel ma Ring -1, secure procesor, na doske je kopec svabov o ktorych nemate sajnu co robia a ak aj mate nemate istotu ze nerobia aj nieco ine. Dnes kompletny procesor strcite na hlavicku spendlika.
Takze ci mam v pocitacitaci priamo derevy HW alebo deravy binarny BLOB je uplne jedno. Castokrat ten binarny blob nie je nic ine iba moznost pre vyrobcu robit jednoduchsi update firmware. Ak je diera priamo v HW tu ani nevidite ani nezaplatate aj ked budete mat vsade open source.

V podstate niekde pán Tavoda máte aj vy pravdu. Ak je cinknutý hardvér, tak potom odhaľovať jeho skytú funkciu je veľmi náročné. Jedinou reálnou a praktickou možnosťou je možno skúsiť si zohnať RISC-V vývojovú dosku a urobiť z neho sieťový analyzátor a sledovať sieťovú prevádzku, či náhodou niečo z počítača neodchádza niekde von do internetu. Avšak musíte byť špecialista na sieťové záležitosti, aby ste dokázali odhaliť takéto neštandardné správanie sa počítača. Binárny blob vs open source ovládač: výhodnejší je ovládač s otvoreným zdrojovým kódom, z pohľadu bezpečnosti je to lepšie, než binárny sajrajt, ktorý môže predstavovať bezpečnostnú hrozbu - Prečo si zbytočne zvyšovať nebezpečné elementy v systéme? - ak to nemusí byť nutné?.. ... Skutočným dôvodom, že prečo výrobcovia hardvéru používajú binárny bloby je ten, že nechcú ukazovať konkurencii ako funguje vnútorne ich hardvér a veru aj možno preto, lebo oni sami dobre vedia, že hardvér robí aj niečo iné, o čom by verejnosť rozhodne nemala nikdy vedieť.

A co teda pouzivate? Ak pouzivate PC tak tam mate deravy HW na 100% tak aky zmysel ma hrat sa na BLOBy?
Nie vzdy to ze binarny BLOB robi nieco co nema znamena ze je to namierene proti vam ako bezpecnostne riziko. Napriklad WIFI karta moze mat HW ktory je schopny ladit sa aj na ine licencovane frekvencie a binarny BLOB tomu brani. Keby to dali OpenSource tak neprejdu certifikaciou.
To iste graficke karty, existuje SW sposob ako ich pretaktovat a take karty sa predavaju drahsie. Keby dali ovladac open source mozu na svoj obchodny model zabudnut.
To ale neznamena ze je to pre vas nejake bezpecnostne riziko to pouzivat.

Čo sa týka Wifi kariet, tak napríklad niektoré staršie Wifi karty s Atheros čipom majú otvorený zdrojový kód ovládačov. Aj niektorá z firiem Purism, alebo TUXEDO, alebo SYSTEM76, alebo StarLabs dávajú do notebookov práve Atheros. Plus je tam aj projekt OpenWrt.Čo sa týka grafiky porovnajte AMD a Nvidiu. Zmysel hrať na binárne bloby je v tom, že prečo si do systému zbytočne zanášať dodatočné zbytočné bezpečnostné riziko?

ackoliv to resim mene "paranoidne" nez IFTUN, rozhodne nesouhlasim s tim ze "kdyz uz je dira v HW, neni duvod resit diru v SW", je to stejna hloupost (to tvrzeni, pokud to nekdo pro sebe nechce resit je to jeho vec) jako rict "Nechavam otevrene dvere do bytu, protoze zlodej si stejne muze rozbit okno"...

do k3dAR. Presne tak ako píšete, ak je šanca zvýšiť bezpečnosť, čo i len trošku, tak túto šancu treba rozhodne využiť.

OpenSSL má pol mega riadkov kódu. WolfSSL dvadsatinu. Skúste si porovnať náročnosť auditu.

Áno je to určite náročné, avšak koľko veľmi dobre zarábajúcich projektov používa OpenSSL - to je taký problém čas od času inicializovať zbierku medzi firmami na bezpečnostný audit?

Jak už tu psali kolegové, díry mohou být v hardwaru, i softwaru, a to včetně open source. To, že se v OSS snáz díra odhalí, je dávno vyvrácený mýtus. To, že jde do Open Source díra úmyslně zanést, je naopak potvrzený fakt. Vyhýbat se z těchto důvodů binárním blobům je víceméně primitivismus, pocitové jednání v rozporu s fakty.

Bezpečnost je o důvěře, a s tou souvisejí vždy dvě otázky: komu důvěřujete a v čem důvěřujete. Pokud neobchodujete na nejvyšším levelu s drogami, lidmi, neohrožujete USA, pak Vám mohou být backdoory tamní Národní bezpečnostní agentury fakt šumák. Na to, aby se někdo podíval, kolik máte na daňovém přiznání v ČR, fakt nikdo otevírat backdoor nebude.

Miroslav Šilhavý
To, že se v OSS snáz díra odhalí, je dávno vyvrácený mýtus

ten "mytus" "vyvraceji" tvurci ClosedSource ze? ;-) protoze sebeblbejsi logika, stale bude videt jasne, ze neco s otevrenejma zdrojakama ma samozrejme mnohonasobne vetsi sanci ze se tam dira da zjistit, nez neco s uzavrenejma zdrojakama...

protoze sebeblbejsi logika, stale bude videt jasne, ze neco s otevrenejma zdrojakama ma samozrejme mnohonasobne vetsi sanci ze se tam dira da zjistit, nez neco s uzavrenejma zdrojakama

To samozřejmě. Jenže díru uvidí kdokoliv, kdo si dá tu práci ji hledat - resp. takovou práci zafinancuje. A nemusí to být zrovna někdo s dobrými úmysly, kdo o chybě kratší nebo delší dobu ví a je mu celou dobu k dispozici, zatímco zbylý svět čeká, než ji objeví někdo poctivý.

Nuž ono podľa mňa zdrojové kódy open source prehľadávajú denne stovky až tisíce nadaných hackerov/crakerov po celom svete v nádeji, že tam niečo nájdu, čo môžu použiť pri svojej "práci". Niektorí z nich sú open source fundamentalisti, ktorí po čase tie chyby aj zverejnia a iní sa ich budú snažiť využiť vo svoj prospech a vyťažiť z toho nejaké financie.

no, prohledávání zdrojáků se už tolik nenosí, nejvíce bezpečnostní chyb se v poslední době nachází právě díky různým fuzzerům, ty nepracují se zdrojovým kódem, ale s kompilovanou aplikací.

Mít k dispozici zdrojový kód pak usnadňuje zneužití nalezených chyb, jejich analýzy či ulehčení právě hromadného testování (mohu jednotlivé části kódu odseparovat a zrychlit analýzu). Naopak třeba otevřený zdrojový kód může vést k tomu, že ty chyby tam najdou právě ti špatní, nezveřejní je, ale zneužijí. Stejně tak se ukazuje, že v otevřeném zdrojovém kódu se blbě řeší bezpečnostní opravy a stejně jistou dobu se různými triky snaží autoři změny skrýt, distribuují binární bloby v aktualizaci (vč. Debianu) a až po nějaké době zveřejňují samotné kódy.

Argumentace, že otevrřený zdrojový dělá SW bezpečnější neuznávám, opakovaně se prokazuje, že chyb tam je stejně jako v komerčním SW a že to je pořád o důvěře v daný tým a jeho schopnostech. Vzhledem k tomu, jak náročné složité chyby se poslední dobou nacházejí, je čím dál těžší jako programátor to vše znát.

OpenBSD dělá hodně dobrou práci.

Argumentace, že otevrřený zdrojový dělá SW bezpečnější neuznávám, opakovaně se prokazuje, že chyb tam je stejně jako v komerčním SW a že to je pořád o důvěře v daný tým a jeho schopnostech. Vzhledem k tomu, jak náročné složité chyby se poslední dobou nacházejí, je čím dál těžší jako programátor to vše znát.

Otevřenost zdrojáků by měla zajistit právě to, že bude veřejnost schopná poznat, jestli je ten který produkt zdravý a lze k němu mít důvěru, nebo už se v něm nikdo reálně nevyzná a nastal čas jít jinam. Že se to děje málo, je samozřejmě jiný problém.

3. 5. 2021, 13:37 editováno autorem komentáře

Otevřenost zdrojáků by měla zajistit právě to, že bude veřejnost schopná poznat, jestli je ten který produkt zdravý a lze k němu mít důvěru, nebo už se v něm nikdo reálně nevyzná a nastal čas jít jinam. Že se to děje málo, je samozřejmě jiný problém.

On je to kruciální problém. Zatím nikdo nepřišel s žádným konceptem, jak by to mohlo fungovat v praxi. Open source je už dávno z velké části leadován velkými firmami, takže to tempo vývoje je ukrutné. Masy chtějí software užívat většinou vůbec netuší o nějakém open vs. closed source.

Vůbec se to nedá srovnávat s komunitním vývojem třeba v devadesátých letech, kdy byl prostor diskutovat návrhy i řešení a kontrola fungovala trochu samovolně.

Podle mě premisa, že se v open source vývojáři a zapálení uživatelé navzájem kontrolují, už padla. Pokud padla premisa, ovlivňuje to i všechno následné, ale jaksi chybí myšlenka, jak si s tím poradit.

Funguje to třeba u menších knihoven, neaktivní repo obyčejně ztrácí zájemce o používání. Problémem jsou velké kusy, jako je třeba OpenSSL, ale nad nimi se myslím pomalu uzavírá voda taky.

OpenSSL je veru veľký projekt. LibreSSL od OpenBSD ho možno raz úplne nahradí, čas ukáže.

Čas ukáže, či teda bude dominovať katedrála alebo tržište. Alebo možno vznikne z toho niečo, čo by sme vôbec načakali. Je to evolúcia. Je to fascinujúce sledovať.

to Ink
Vynikajúca argumentácia. Tých výhod open source softvéru je podľa mňa viac než nevýhod.

Zaujímavý názor. Ak mám vybrať medzi closed source a open source, tak si jednoznačne vyberám open source. Ak niekto do closed source niečo nekalé prepašuje, tak je oveľa menšia šanca to zistiť, než keď sa pašujú chyby do open source. Je to o pravdepodobnos­tiach.

Ak niekto do closed source niečo nekalé prepašuje, tak je oveľa menšia šanca to zistiť, než keď sa pašujú chyby do open source. Je to o pravdepodobnos­tiach.

Když mluvíte o těch pravděpodobnostech, jak tedy hodnotíte pravděpodobnost toho, že chyby v opensource si díky otevřenosti může všimnout někdo se zlými úmysly a dlouhou dobu tu chybu zneužívat?

Sám třeba konáte co, abyste chyby našel? Sledujete nějak změny mezi verzemi a rozebíráte je?

Protože mně přijde (a statistiky tomu odpovídají), že ve skutečnosti se spíš děje to, že někdo najde a zneužívá objevenou chybu v open source, než že by to vedlo k o tolik rychlejší opravě.

Přijde mi to jako security management by hope.

To mi chcete povedať, že chyby v closed source softvéri sa nezneužívajú zlými ľuďmi? Keď, je to open source, tak je väčšia šanca, že chybu objaví aj taký, ktorý ju aj zverejni.

Zmeny medzi verziami vôbec nesledujem - nemám na to totižto schopnosti okrem teda niektorých JAVA knižníc, ktoré použivam vo svojom softvéri. Ja podporujem ľudí, ktorí sa rozumejú do COREBOOT a LIBREBOOT - robím ich službám reklamu, a keď treba, tak ich podporím aj finančne.

To mi chcete povedať, že chyby v closed source softvéri sa nezneužívajú zlými ľuďmi? Keď, je to open source, tak je väčšia šanca, že chybu objaví aj taký, ktorý ju aj zverejni.

:) jen znovu musím poukázat na existenci statistik, které tuto tezi vyvracejí. V praxi to funguje přesně opačně.

Pochopitelně i v uzavřeném software jsou čuňárny. Nicméně obvykle znáte vendora a máte šanci posoudit, jaká rizika to přináší. Např. můžete operovat s určitou pravděpodobností (řekl bych hraničící s jistotou), že do SW od Microsoftu, Google a Applu má co mluvit NSA. Na druhou stranu máte taky určitou jistotu, že do něj nebude zasahovat kdejaký trouba ze zemí, jejichž kultuře a nátuře jen ztežka rozumíme.

U OSS jsou rizika dvojí - a jsou poměrně jednoduše pochopitelná: 1. někdo může do kódu dostat záměrné chyby, kterým a jejichž kombinaci rozumí jen on sám (neb je navrhl), a nikdo druhý je jednoduše nevidí; 2. nezáměrné chyby může odhalit někdo, kdo má na to spoustu peněz, a o svoje zjištění se dělit nehodlá.

OSS má svoje nepopiratelné výhody, ale mezi ně NEPATŘÍ implikace otevřenost => vyšší bezpečnost. Zdá se, že Vám tím bořím víru. Ano, do bezpečnosti patří i důvěra. Ale v takovém případě byste měl vědět v co a hlavně komu věříte. Zrovna ono "komu" je z hlediska bezpečnosti velká slabina OSS.

Hmm tak teda tie CRYPTO meny by mali byť predsa len closed source - bolo by to oveľa bezpečnejšie ;-) Veď taký bitconnect a jeho magic robot bol tiež closed source, a dopadlo to s nimi fakt úžasne.

Nie, ale teraz vážne. Áno slabina Open Source je v tom, že do zdrojového kódu môže v podstate prispievať aj človek, ktorý tam chce zaniesť chyby. Avšak ak je projekt aktívny a je tam veľa vývojárov, tak je šanca, že skôr, či neskôr toto záškodnícke správanie sa si všimnú. Pri malých projektoch, o ktoré sa starajú nadšenci, tak možno tie sú najbezpečnejšie, pretože pôvodní autori nenechajú si zasviniť svoj zdroják od kadejakých šmejdov.

Avšak ak je projekt aktívny a je tam veľa vývojárov, tak je šanca, že skôr, či neskôr toto záškodnícke správanie sa si všimnú. Pri malých projektoch, o ktoré sa starajú nadšenci, tak možno tie sú najbezpečnejšie, pretože pôvodní autori nenechajú si zasviniť svoj zdroják od kadejakých šmejdov.

A proč tedy zkušenost hovoří opačně?

k3dAR - presne tak, otvorený zdrojový kód vždy, ale vždy bude lepší, než uzatvorený.

Pán Šilhavý mávnuť rukou nad stratou kontroly nad hardvérom a nad softvérom s argumentáciou, že veď je som z ČR a som nezaujímavý - tak práve toto je víceméně primitivismus. Myslím si, že by sme mali neustále bojovať za získanie čo najväčšej kontroly nad našimi počítačmi.

Nad Open Source softvérom vie vykonať bezpečnostný audit ľubovoľná skupina bezpečnostných expertov - pretože majú k dispozícii zdrojové kódy. Vykonať bezpečnostný audit softvéru s uzatvoreným zdrojovým kódom nemôže len tak hocikto, pretože nie sú k dispozícii voľne dostupné zdrojové kódy.

Tak ako sa dajú zaniesť zámerne chyby do Open Source, takisto sa dajú zámerne zaniesť chyby do projektov s uzatvoreným zdrojovým kódom - len to stojí viac peňazí a spočiaku majiteľ projektu s tým nemusí súhlasiť - ale nakoniec ich zlomia, a ktomu im ešte sľúbia aj výhody.

Ten audit taky neodhalí všechno, spíš sníží riziko, víc ne.

Především "audit" si může objednat i někdo, kdo nemá dobré úmysly a vůbec nechce výsledky zveřejnit či usilovat o opravu. Může mít víc prostředků i víc štěstí, že najde chybu, o které ostatní (zatím) neví.

Este keby tak existovalo nejake zariadenie ktore dokaze automatizovane nieco robit a vedelo by prehladavat zdrojove kody a hladat tam chyby. To by bol priam zazrak.
V kazdrom pripade vam garantujem ze taky SW beziaci na binarkou toho najde ovela menej ako nieco co bezi na zdrojovym kodom vo vyssom jazyku.

Pavel Tavoda dávajte si sakramentský pozor nato, že čo si želáte ;-) ;-)
Predstavte si, že taká umelá inteligencia, by dokázala nielenže kontrolovať zdrojové kódy a odhaľovať chyby, ale by dokázala rovno tvoriť zdrojový kód priamo v assembleri. V tom momente 90% ITčkárov - vývojárov - programátorov by prišlo o živobytie! Ináč aj ja by som bol zvedavý na výsledok, že kde by bolo viac chýb v binárke alebo v zdrojom kóde.

Pokiaľ je bezpečnostný audit taký, že o ňom vie verejnosť, tak by som fakt chcel vidieť toho bezpečnostného analytika, ktorý by zatajil chybu, s tým rizikom, že sa na tú chybu príde niekedy v budúcnosti - To by bezpečnostný analytik riskoval svoju reputáciu.

Spoliehať sa nato, že som prašivý civil je tá najľahšia a najkomfortnejšia cesta, ako zahodiť pálčivé problémy dnešnej IT doby za svoju hlavu. Mali by sme bojovať za čo najväčšiu kontrolu nad našimi počítačmi, tak ako to bolo v 90-tych rokoch.

V 90-tych rokoch sme mali podstatne viac kontroly na našimi počítačmi. Mali by sme sa snažiť zvyšovať zabezpečenie našich počítačov a urobiť Maximum preto, aby to tak bolo. Ak je šanca zvýšiť čo i len o 1% dôveryhodnosť počítača, tak to treba využiť.