FBI-Backdoors im Security-Stack von OpenBSD versteckt? Wie sieht es bei Linux aus?

Setze doch bitte in der Überschrift noch ein Fragezeichen an den Schluß oder formuliere sie so um, dass man sieht, dass es hier nicht um bewiesene Dinge, sondern um Vermutungen geht. So eine Marke in der Überschrift zu setzen und das ganze dann im Beitrag zu relativieren bzw. korrekt wiederzugeben ist irgendwie Bildzeitungs-Niveau 😉

Linux kennt SELinux (NSA) …

Mehr Details übrigens hier:

http://blogs.csoonline.com/1296/an_fbi_backdoor_in_openbsd

Autor schrieb: „Aber immerhin gibt es die Möglichkeit den Code komplett zu zerlegen, was jetzt mit Sicherheit geschehen wird.“

Hallo
Das war auch immer mein Argument…
Leider sieht die realität anders aus. Wer kann den wirklich Code Lesen und entsprechend Interpretieren? Da gibt es viel zu wenig Menschen die das können und von denen paar haben die wenigsten Zeit und Lust diese aufwendige Arbeit zu übernehmen. Nur das schon Organisieren zu wollen wird fast unmöglich, weil die „Community“ in dieser Hinsicht zu Fragmentiert ist.
Oberste Aufgabe der FreeSoftware/Opensource Gesellschaft sollte es sein, die Peer/User mehr in diese Richtung auszubilden, das sie Code auch wirklich lesen und diesen dann auch Interpretieren können. Statt immer nur vorne auf der Bühne neue Projekte vorzustellen, sollte der Fokus besser darauf ausgerichtet sein, die Wurzel zu verstehen und zu pflegen.
Ich selbst kann keinen Code Interpretieren und bin somit auf den „reinen Glauben“ angewiesen. Und die die es könnten, wollen nicht so recht, es ist ja 1. Ihre Macht und 2. sind die meisten so Induviduell, das sie nicht Gesellschaftsfähig für so ein vorhaben sind. Ich habe lange genug in diesen Kreisen verkehrt und meine Erfahrungen damit gemacht.
Das ist jetzt nicht nur negativ gemeint. Denn wenn es z.B. gesellige Gesellschaftstypen wären, hätten Sie niemals die Zeit für ihre Fähigkeit entwickeln können und als Aussenseiter in einer Gesellschaft wie dieser ist Ihre Fähigkeit der einziege wirkliche Trumph „Macht“ in Ihrem Leben, der bleibt.
Der Glauben existiert also auch auf dem Basar…

MfG Herr Schmidt

Die Überschrift ist wirklich *sehr* unklug gewählt. Es gibt bisher nicht mehr als den Vorwurf von jemandem, der behauptet, damals mit dem FBI zusammengearbeitet zu haben. Das ist in etwa so verlässlich wie eine Behauptung von Microsoft, der IE8 sei sicherer als alle anderen Browser.

Ich bin mehr als bereit, dies zu glauben!

Duplizität der Ereignisse – letzte Woche noch kamen wir im Kontext der Terrorwarnungen auf das Thema “Backdoor” und der Frage, ob man/frau in dieser Hinsicht mit Windows “sicher fühlen” kann.

Hintergrund: Backdoors in MS-Produkten war bekanntlich gegen Ende der Clinton-Administration, zu der Zeit, als gegen MS ein Kartell-Verfahren zur möglichen “Zerschlagung” wegen marktbeherschender Stellung lief, ein “großes” Thema. Auch hier gab es entsprechende Informationen, die, in der Natur der Sache ( ähm, Programme)liegend, nie konkretisiert werden konnten. Nach dem Bush an der Regierung war, wurde das Verfahren eingestellt und auch die Backdoor_Diskussion verlief sich.

Auf die Idee, das dies auch für “freie” Software zutreffen könnte, ist uns, zumindest damals, nicht in den Sinn gekommnen – im Gegenteil, wenn noch etwas sicher ist, dann …

Konfrontiert (und auch wieder aufgeschreckt) von dieser Meldung und den gemachten Erfahrungen mit den USA der letzten 10 Jahre komme ich für mich zu dem Ergebnis, dass es keinen Grund gibt daran zu Zweifeln, das die amerikanische Administration zwischenzeitlich dafür gesorgt hat, die Impfung der relevanten Software veranlasst zu haben. Im Zweifel gibt es immer mindestens Einen, der am falschen Ort war.., zu viel ausgegeben hat oder was auch immer.

Dies ist mit Sicherheit für die USA ein “strategisches Ziel” im Rahmen ihrer “Sicherheitspolitik”, und unser Herr Schäuble, der den Chef-Umsetzer des amerikanischen Patriot Act gerne auch privat in seinem Haus beköstigt, braucht schließlich auch eine Möglichkeit, den Bundestrojaner möglichst einfach zu implementieren.

In Anbetracht der weiter zunehmenden, überragenden Stellung des PC für jeden Bürger scheint es mir mehr als geboten, eine für den Bürger sichere Software anbieten kzu können.

Wie und wer, darüber sollte diskutiert werden.

Darüber hinaus wünsche ich mir schon lange eine unabhängige Bundesdatenschutz-Behörde, die nicht nur nicht dem Innenministerium (!) unterstellt ist, sondern darüber hinaus auch mit und von gewählten Bürger-Vertretern, jenseits von Parteien, geführt wird.

Es geht um nichts weniger als um ein selbstbestimmtes Leben!

Ich kann es auch nicht glauben, dass diese Mail wirklich echt ist, bzw. ob die Behauptung auch wirklich zutrifft. Auf jeden Fall wäre das ein ganz schöner Hammer.

Ja, dass wäre wirklich ein Hammer, sollte es stimmen. Aber immerhin hat man bei Open Source Software die Möglichkeit, so etwas aufzudecken, während man bei Closed Source allein auf den Hersteller vertrauen muss. Wobei es selbst für Entwickler schwer sein kann, Code von anderen zu lesen, vor allem, wenn die Dokumentation schlecht ist oder ganz fehlt.

Hmm – also ich glaube, wenn das FBI das Ziel hat da reinzukommen schaffen die es auch. Dass der Code auch über andere Länder eingeschleusst werden kann ist doch klar – das FBI ist zwar amerikanisch aber nicht hohl 😉

Ist eine interessante Diskussion hier.
Viele Grüße aus der Tuxfarm,

Ulf Tramsen

Das Problem hier ist, dass der Code nur dann fehlerhaft sein wird, wenn bestimmte Umstände gleichzeitig oder in einer bestimmten Abfolge eintreffen. Deswegen findet man solche „Bugs“ nicht einfach mal eben so., im Code steht also nicht dass irgendwem die Tür aufgemacht wird, sondern ein bestimmtes Modul arbeitet unter bestimmten Umständen plötzlich abnormal und lässt bestimmte Dinge zu, die so im Code nicht zu sehen sind. Das ist ein alter Trick, begonnen hat dies damals mit den Buffer-Overflows, später kamen die TCP/IP Stacks dazu, dann die Services, ect. Theoretisch muss man alle Zusammenhänge der Software und deren Wechselwirkungen grafisch aufarbeiten und dann Stück für Stück das Sicherheitsloch finden. Leicht wird das nicht, aber ich wette man findet dabei noch weitere.