Пишут:
И.о. президента Украины Александр Турчинов издал указ № 449/2014 о мерах по совершенствованию формирования и реализации государственной политики в сфере информационной безопасности Украины. В тексте документа предлагается проработать вопрос о создании национальной защищенной операционной системы и национального антивирусного программного обеспечения. Также предложено создать специальные программные и технические средства защиты государственных информационных ресурсов и информационно-коммуникационных сетей. Сделать это нужно в трехмесячный срок.
Также предлагается создать национальный медиа-холдинг для подготовки качественного конкурентоспособного информационного продукта. Который будет обеспечивать распространение в мире объективных сведений об общественно-политической ситуации в Украине.
Был бы я беспринципной сволочью — вмандил бы в какой-нибудь экзотический Minix или Plan9 поддержку украинской клавиатуры и попытался бы продать это правительству Турчинова. Правда, есть риск того, что в трехмесячный срок сдохнет шах.
Ну и вдогонку — вы когда-нибудь сомневались в том, что «компьютерное пиратство» — это жупел, придуманный для защиты политических интересов США? Не сомневались? И правильно делали:
Офис Торгового представителя (ОТП) США исключил Украину из списка интеллектуальных пиратов, сообщает Министерство иностранных дел (МИД) Украины. 30 апреля ОТП США обнародовал «Специальный доклад 301» о состоянии защиты прав интеллектуальной собственности в разных странах мира, в т.ч. в Украине. Офис Торгового представителя США решил исключить Украину из нынешнего доклада.
Турчинов «хороший» — и его можно не наказывать за «пиратство», Янукович был «плохим» — и Украина занимала заслуженное первое место среди стран с «неблагополучной ситуацией в сфере соблюдения прав на интеллектуальную собственность».
кмк это заразно — национальной ос каждая свинья бредит. главное нахуя — неясно, бери лынуксъ делай аудит и сажай красноглазых на саппорт.
а этого «национального» говна и так хоть жжепой жуй — rosa, мсвс, альт и подобные говноподелия
> бери лынуксъ делай аудит
Нереально. По большому счету такой подход — это профанация.
> rosa, мсвс, альт
Тот самый лынуксъ.
И поясню, почему профанация. Когда говорят о «национальной ОС», то речь идет о том, чтобы разработка ее была более-менее подконтрольна «компетентным органам». Подконтрольность Linux обеспечить никто не может, вместо нее можно предположить «отсутствие чужого контроля» (тоже в некоторой степени). Это, может, и удовлетворяет сертификационным требованиям ФСТЭК, но в плане ИБ мир все равно остается «однополярным» — США и все остальные.
Какая разница что контролировать — патчи от своих разработчиков или сторонних?
Допустим, сторонние, неподконтрольные разработчики вместе с багфиксами всунули громадную дыру в безопасности. Ваши действия? Лично я не вижу вариантов, кроме как «форкнуть» при наличии такой возможности.
Со «своими» есть несколько других возможностей.
роза и альт форк мадривы, если чо я школьный альт зазырил. Прикольно.
мсвс в какой-то степени допиленный рхел. (интересно, а они в мсвс дыру в опенссл тоже сертификировали?)
ты бы еще болгенос вспомнил.
> а они в мсвс дыру в опенссл тоже сертификировали?
«Сертифицировали» — слово дурацкое. Сертифицировать можно на соответствие требованиям, а вот каким — это еще надо уточнить.
Дыра в OpenSSL не так страшна, как может показаться — например, гарантировать получение неавторизованным пользователем доступ из-под root к фоткам в каталоге /home/vvp/Алиночка (а че, тоже требование безопасности) она не может.
2-й класс защищенности от НСД,
1-й уровень классификации контроля отсутствия недекларированных возможностей.
«Защищенность от НСД» — это ни о чем, это просто перечень фич. Классификация контроля отсутствия НДВ — прохождение некоторых формальных тестов, короче говоря, статический анализ кода. Переводя на нормальный язык — прогнали lint, предупреждений нет, хуяк-хуяк и в продакшен. И в любом случае, все упирается в «эксперта», проводящего испытания.
Отсутствия багов ни первое, ни второе не гарантируют. Обрати внимание на название — не «отсутствие НДВ», а «контроль отсутствия», это перечень устаревших лет на 20 best practices для написания хорошего кода.
Отсюда следует что вся эта сертификакиция — профанация чистой воды. И не только эта.
Нет. Я же не зря сказал про «best practices». То, что описано в качестве «методов контроля отсутствия НДВ» — нормальные методики тестирования, которыми должны пользоваться любые более-менее адекватные разработчики. По хорошему, сейчас сертифицировать надо не продукты, а процессы разработки — или же сажать в коллектив программистов этакую «военную приемку».
И второе соображение. Описанные методы нормально работают для не очень больших проектов. Для чего-нибудь грандиозного, типа Linux или Windows — нет, действительно в профанацию.
я так думаю что это фуфел в любом случае. Всяческие тесты могут отловить ну какие-то совершенно чайниковские фейлы. А проверить на полном множестве входящих параметров — в принципе не возможно, вселенная схлопнется раньше. Даже чипы перестали проверять на полном множестве сигналов, так, пощелкают чутка, вероятность 99,9 обеспечать и погнали в серию.
Ну не надо максимализма. Нужны не стопроцентные гарантии отсутствия багов/НДВ, а просто возможность проверить за разработчиками, не налажали ли они, а сомнительные места — сверить с документацией. И ты удивишься, но не так давно в эппловской реализации SSL был обнаружен совершенно «чайниковский» баг:
http://dxdt.ru/2014/02/22/6664/
Такие баги можно отловить валидатором, именно потому, что код после goto не выполняется никогда, что сильно подозрительно.
В принципе, очень многие очепятки можно выловить валидатором.
на хабре кто-то регулярно постит статейки про проверку своим валидатором тех или иных исходников. Иногда забаные места находятся.
Вот, а кто поручится, что это случайный баг, а не намеренно внедренная закладка? А простыми средствами типа lint и его идейных продолжателей баги ловятся замечательно (не секрет, что многие большие проекты разрабатываются даже с отключенными warning-ами — а они могут намекнуть на серьезные ошибки).
Помнишь историю про слабый генератор случайных чисел? При наличии хотя бы warning-ов компилятора он тоже прекрасно отлавливается. А если копнуть подальше, «в историю» — то там ад и погибель, начиная с «червя Морриса».
Лет 15 назад все эти подходы были вполне «по делу». Ну и плюс не забывай, что для ПО, подпадающего под «контроль отсутствия НДВ», методы контроля этим не исчерпываются — сличается документация и код, что тоже может помочь отловить ошибки-закладки с неплохой вероятностью.
гарантий никаких, но надо просто признать: вся сертификация — это прогон на валидатор исходников. Валидатор не ругнулся — сертификат получен.
Я, правда, не уверен что там вообще что-то проверяется. По идее пересертифицировать надо после любого апдейта, а поскольку органы сертификации работают не быстро, то это полный анрил.
Что касается слабого генератора — это намек на дебиан? по-моему там как раз варнинг компилятора и побудил инициализировать массив нулями, а не тем мусором, который там был. Кстати, по-моему, возвращение неинициализированного массива это тоже определенная бага. Либо при освобождении массива его надо принудительно заполнять нулями.
> пересертифицировать надо после любого апдейта
Да, это так.
http://infowatch.livejournal.com/19472.html
> Что касается слабого генератора – это намек на дебиан? по-моему там как раз варнинг компилятора и побудил инициализировать массив нулями, а не тем мусором, который там был.
Не помню, что это было, но там массив char инициализировали как-то так:
char n[] = {65536};
Любой компилятор на это ругается warning-ом.
При этом 65536 — вполне нормальное число для инициализации n в этом алгоритме, только писаться оно должно по-другому:
char n[] = {0, 0, 0, 0, 1};
> Да, это так.
Спасибо, КО! Но это был не вопрос, а констатация факта.
И бОльшую часть операторов связи можно легко взять за жопу, ибо у них практически гарантированно будет не та прошивка в оборудование, на которую есть сертификат ССС/ССЭ.
> char n[] = {65536};
Ну это какая-то рукожопость, даже на опечатку не канает.
Нет, в дебиане была другая бага: при генерации ключа мусорное содержимое массива использовалось для увеличения энтропии ГСЧ, а один шибко умный кодер решил что использование неинициализированного массива зло, вставил туда обнуление и на выходе получилось что надо перебрать не более 64К ключей, ибо использовался только pid.
> Спасибо, КО!
Вот я и говорю о порочности сертификации «готового» ПО, а не «военприемке» в процессе разработки или сертификации процессов. В «неявном» виде оно все присутствует — скажем, Windows нельзя использовать в системах, где обрабатывается информация, кажется, с грифом «совершенно секретно» и выше. Казалось бы, ничто не мешает получить сертификат о контроле отсутствия НДВ более «высокого» уровня — но его просто никто не выдаст.
Ну или практика сертификации антивирусов — которые на 100% состоят из НДВ, выполнения «произвольного» кода и т. д. Женя Касперский — правильный чувак, почти свой в доску, из тех, что бывшими не бывают — как такому не помочь с сертификацией?
> Ну это какая-то рукожопость, даже на опечатку не канает.
Этот char был скрыт за несколькими typedef’ами и макросами — но компилатор кидал warning, просто всем было пох.
>роза и альт форк мадривы, если чо я школьный альт зазырил. Прикольно.
кривое говно, я все это сам видел и щупал. а после покупки мандривы россиянами оттуда вообще съебалось 99% кодеров, так что оно мертвое
>мсвс в какой-то степени допиленный рхел.
нед. это спижженый redhat 9.0, тогда рхела еще и в помине не было. причем спижженый и неподдерживаемый. хотя новые МСВС уже мож и со рхела тянутся, давно не видел
Ну предложите некривое говно, которое можно применить в школе без допиливания.
это, ви таки за МСВС 5.0 говорите или за что?
>Ну предложите некривое говно, которое можно применить в школе без допиливания.
не увидел ничего специфик школота там, а так — бери любое с топа дистровотч
>это, ви таки за МСВС 5.0 говорите или за что?
последний раз смотрел — оно было 3,0
дистрчто?
там специфик школота из короппки набор рекомендованного софта, плюс на сервере разворачивается какой-то школотский интранет с бле… со школьным сайтом. Со всякой муйней.
И да, с добрым утром. МСВС уже 5.0, причем, по слухам, ВНИИНС c RedHat’ом заключили партнерское соглашение.
>Тот самый лынуксъ.
да, только собранный кривыми руками, потому и говно
>Когда говорят о “национальной ОС”, то речь идет о том, чтобы разработка ее была более-менее подконтрольна “компетентным органам”.
ну форкните, какая разница.
>США и все остальные.
епт, если посчитать сколько пакетов входит в min install и поглядеть откуда идут коммиты, то выйдет весь мир. и самое главное — оно нахуй нинада, ибо даже в форкнутый лынукс придется бэкпортить патчи, это ебаная тонна ненужной работы.
> ну форкните, какая разница.
См. предыдущий пункт.
> епт, если посчитать сколько пакетов входит в min install и поглядеть откуда идут коммиты, то выйдет весь мир. и самое главное – оно нахуй нинада, ибо даже в форкнутый лынукс придется бэкпортить патчи, это ебаная тонна ненужной работы.
Еще раз повторю. Есть гарантированно «американская» ОС Windows — где со 146% вероятностью внедрено нужное количество «закладок» в интересах США, и наоборот, «чужие» закладки внедряются с малой вероятностью. А есть «ничейная» ОС Linux, куда внедряют свое и вычищают чужое все, кому не лень (США и Китай — однозначно) — плюс добавим некоторое количество лажи, вставленной по недомыслию. Но «ничейное» — ни в коем случае не равно «своему», то есть «УкроОС», в которую закладку не вставит ни АНБ, ни ФСБ.
>Есть гарантированно “американская” ОС Windows – где со 146% вероятностью внедрено нужное количество “закладок”
тем не менее это не помешало нашим выпросить в свое время сорцы для аудита, после которого какойто даж сертификат дали и проебали сорцы в инторнете
так что разницы никакой — что в конечном счете аудировать
С существующей системой сертификации — разницы нет. Я там чуть выше написал «сертифицировать надо не продукты, а процессы разработки – или же сажать в коллектив программистов этакую “военную приемку”». Но это следствие того, что «собственной ОС» никто не занимается, а что-то использовать надо.
А по поводу Windows — предлагаю посмотреть, что же написано в том «сертификате» и для чего эта ОС может использоваться.
Не «выпросить» , а штатный процесс для каждой свежей. Но-там нет гарантий отсутствия закладок, там гарантия отсутствия известных закладок. Именно поэтому сертифицированная винда все равно в интернет не выпускается никогда, причем отключена машина физически.