Názor k článku
Jak na OpenSSL 3

Zdravim. No jak se mi zda, preci jen mate neprofesionalni pohled (bez urazky).
Jen par komentaru:
1) OSS systemy trpi vyrazne vice exploity, coz lze snadno prokazat a nase firma to ma v umyslu, ptz jsme pripravili spolecne s CERN prehled bezpecnostnich exploitu a ten hodlame publikovat. A OSS systemy maji radove vyssi vyskyt uspesnych pruniku, nez uzavrene. Napr. v pripade nasich implementaci, nezaznamenal doposud jediny klient uspesny utok, pouze se jednalo o DoS a podobne typy utoku na zablokovani systemu, ale ani jeden skutecny prunik.

2) Pan Honza to popsal presne. Ani nahodou nelze srovnavat matematickou algoritmizaci s implementaci. To je uplne o necem jinem. Matematicka algoritmizace je stavena tak, aby mela "neomezenou" zivotnost, kdezto implementace trpi v KAZDE verzi potencionalnimi chybami bez ohledu na opravy. A proto je zcela nesmyslne srovnavat zverejneni algoritmu s implementaci, jsou to hrusky a jablka.

Vy se na to nedivate jako profesional na bezpecnost, ale jako obhajce nejake ideologie, co se snazite prosazovat a to je spatne. Nedovedu si predstavit, ze by napr. armada zverejnila sve zdrojove kody systemu, co pouzivat, to je naopak predmetem silne spionazni aktivity a kdy se to podari ziskat,je to obrovsky uspech. A vite proc? Protoze je pak nesmirne snazsi proniknout do systemu. A tim mate odpoved.
Nevidim PRINCIPIELNI duvod, proc bych mel pristupovat jinak k armade a nebo napr. k e-shopu, kde jsou jakakoliv data. Stejne tak i k mailu apod. Chci je drzet zabezpecena. Budu se tedy snazit jednat jako armada, a to proto, ze tento model predstavuje nejvyssi moznou uroven zabezpeceni a pochopitelne nebudu kupovat tak drahe systemy, ale budu kopirovat, jak napsal Honza "design patterny"! A jednim z techto vzoru chovani je i utajeni kodu!
Muzete i videt, ze prave Vami zminovane OpenSSL trpi nesmirne pruniky a napr. pan Klima jasne zminil, ze jejich prunik do systemu na zaklade OpenSSL byl mozny diky tomu, ze meli zdrojove kody. U ostatnich systemu s uzarenym kodem to nedokazali, a jak napsal pan Klima bylo to proto, ze tohle by bylo pomerne obtizne zjistovat.

Nechapu, jak muzete postavit ideologii (tedy OSS) nad bezpecnost. Pokud chcete psat o bezpecnosti, zbavte se ideologie. Jinak je to jen propaganda.