Zdravim. No jak se mi zda, preci jen mate neprofesionalni pohled (bez urazky).
Jen par komentaru:
1) OSS systemy trpi vyrazne vice exploity, coz lze snadno prokazat a nase firma to ma v umyslu, ptz jsme pripravili spolecne s CERN prehled bezpecnostnich exploitu a ten hodlame publikovat. A OSS systemy maji radove vyssi vyskyt uspesnych pruniku, nez uzavrene. Napr. v pripade nasich implementaci, nezaznamenal doposud jediny klient uspesny utok, pouze se jednalo o DoS a podobne typy utoku na zablokovani systemu, ale ani jeden skutecny prunik.
2) Pan Honza to popsal presne. Ani nahodou nelze srovnavat matematickou algoritmizaci s implementaci. To je uplne o necem jinem. Matematicka algoritmizace je stavena tak, aby mela "neomezenou" zivotnost, kdezto implementace trpi v KAZDE verzi potencionalnimi chybami bez ohledu na opravy. A proto je zcela nesmyslne srovnavat zverejneni algoritmu s implementaci, jsou to hrusky a jablka.
Vy se na to nedivate jako profesional na bezpecnost, ale jako obhajce nejake ideologie, co se snazite prosazovat a to je spatne. Nedovedu si predstavit, ze by napr. armada zverejnila sve zdrojove kody systemu, co pouzivat, to je naopak predmetem silne spionazni aktivity a kdy se to podari ziskat,je to obrovsky uspech. A vite proc? Protoze je pak nesmirne snazsi proniknout do systemu. A tim mate odpoved.
Nevidim PRINCIPIELNI duvod, proc bych mel pristupovat jinak k armade a nebo napr. k e-shopu, kde jsou jakakoliv data. Stejne tak i k mailu apod. Chci je drzet zabezpecena. Budu se tedy snazit jednat jako armada, a to proto, ze tento model predstavuje nejvyssi moznou uroven zabezpeceni a pochopitelne nebudu kupovat tak drahe systemy, ale budu kopirovat, jak napsal Honza "design patterny"! A jednim z techto vzoru chovani je i utajeni kodu!
Muzete i videt, ze prave Vami zminovane OpenSSL trpi nesmirne pruniky a napr. pan Klima jasne zminil, ze jejich prunik do systemu na zaklade OpenSSL byl mozny diky tomu, ze meli zdrojove kody. U ostatnich systemu s uzarenym kodem to nedokazali, a jak napsal pan Klima bylo to proto, ze tohle by bylo pomerne obtizne zjistovat.
Nechapu, jak muzete postavit ideologii (tedy OSS) nad bezpecnost. Pokud chcete psat o bezpecnosti, zbavte se ideologie. Jinak je to jen propaganda.
Odpověď na názor
Odpovídáte na názor k článku Jak na OpenSSL 3.
Re: Petr
celé vláknoPravidla pro diskutující
Přidáním čtenářského příspěvku do diskusí či fóra souhlasíte s tím, že budete dodržovat následující pravidla. Při jejich hrubém porušení se vystavujete riziku smazání příspěvku, jeho modifikaci, v krajním případě i zablokování přístupu do diskusí.
Redakce ze zásady nezasahuje do čtenářských diskusí a zavazuje se, že nebude mazat ani modifikovat příspěvky, kromě případů, kdy tyto porušují některé z následujících pravidel. V takové situaci je na zvážení redakce, zda příspěvek modifikuje s viditelným upozorněním, či přímo smaže. Redakce nikdy nemaže „nesouhlasné komentáře“ jen proto, že jsou nesouhlasné. Vítáme střet názorů, ale vždy v rámci slušné a kultivované debaty.
Příspěvky nesmí obsahovat:
- Vulgární či hrubé výrazy.
- Urážlivé výroky na adresu druhé osoby či skupiny osob.
- Texty, které mají za cíl jen vyprovokovat emotivní reakci (trolling).
- Rasové útoky či útoky na jakoukoliv jinou menšinu či skupinu obyvatel.
- Komerční nabídky a affiliate odkazy.
- Odkazy na warez, sériová čísla, licenční kódy, pornografii a další nevhodný materiál stejně jako žádosti o poskytnutí tohoto obsahu.
- Prokazatelně protiprávní obsah.
Informace o soukromí: U všech přidaných komentářů provozovatel ukládá IP adresu a hostname odesílatele. U neregistrovaných uživatelů se na webu zobrazuje část hostname, případně IP adresy, neumožňující identifikovat konkrétní počítač.
Povolené značky XHTML: a, br, code, em, li, ol, p, pre, strong, sub, sup, ul
