Vlákno názorů k článku Reprodukovatelná kompilace aneb Debian proti CIA od Mintaka - V Gentoo, kde se stahují zrojáky s hashem...
-
V Gentoo, kde se stahují zrojáky s hashem je situace o poznání lepší.
Samozřejmě existuje celá řada dalších vektorů průniku, ale v základu, pokud mám ověřený kompilátor (a je několik cest, jak mít "ověřený" kompilátor), stahuji ověřené zdrojáky ověřenými linkami z ověřených zdrojů, pak si mohu kompilovat binárky podle mých podřeb (CFLAGS, USE, ... ) a mám je vcelku bezpečné. Po kompilaci si k nim můžu udělat hashe, ty uložit na bezpečné (napříkald Read Only) místo a zpětně si ty binárky porovnávat. Třeba takhle udělat si vlastní "antivir" s whitelistem.Zpět k Debianu.
Když budu mít homogenní prostředí a výstupem budou stejné binárky. Jestli to pak pro některé útočníky nebude jednodušší, že expolity pro bitově shodné binárky budou moc sáhnout na konréktní místo v binárce a tu si upravit, s větší pravděpodobností, že se strefí na správné místo.No a kromě těchto hrátek se zdrojáky a binárkami je dobré nezapomínat na ty spousty dalších možností, které se klukům z NSA nabízí.
Kdysi se tomu říkalo paranoia, dnes tomu říkáme realita :)
Tak ať se daří. -
Ondřej CaletkaZlatý podporovatelU toho Gentoo by to ale ještě chtělo ověřovat a vynucovat digitální podepisování ebuildů, což se zatím neděje. Jinak je tam ta situace naopak podstatně horší než u jakéhokoli distribuce, která aspoň podepisuje binární balíky, protože ty ebuildy k vám přichází naprosto nezabezpečene Rsyncem nebo po HTTP.
-
Mintaka (neregistrovaný)
Cite z rsync man:
For remote transfers, a modern rsync uses ssh for its communications, but it may have been configured to use a different remote shell by default, such as rsh or remsh.Digitální podpisy ebuildů by neškodilo, a ani by to nemuselo být komplikované.
Momentálně je to tak, že kontrolu lze provést přes Manifest e-buildu.
Obsah z /usr/portage/net-analyzer/wireshark/Manifest-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256AUX wireshark-1.11.0-oldlibs.patch 776 SHA256 0b4b23ad3ce7022809187ce970733a4c6bdb9fed31099853b399498fde8dee66 SHA512 dde2cbfd839409c594562b71783204279c37697939d44ee56ce4966d7dd4
3d04ab5837bd51551c416ec789b56f8efd0016e6ecc2311af8b3109e987da301bef6 WHIRLPOOL 57fb7f67166440208c5fe023f8c7e62a4f860ae5fecf02df6e9b8b45fe31c999f7eeeee83914bbfc26c656c69bfceee75c9
4f9ac80c64ebd0c1d6db792b66665
AUX wireshark-1.11.3-gtk-deprecated-warnings.patch 1068 SHA256 0211d3f345617554add63f3101a548a990e26219b31b28003e4dbf607d38de88 SHA512 9ea643e8f707d9f9fe3ce61b875ae1828c77cd81c63
6423fc5572420fd3b103042e078f89541c5145db49f133828d333c55d1c2c3b9a162f0756051ef9d946b9 WHIRLPOOL b04cad3b70bc37b9cbc833227bdf9c32c17e67ad067902d3fb35f467fb76520546ecd508de1805ef81
0b76ebe4f0b686e483817c790cb4ede75c229505596502
AUX wireshark-1.6.13-ldflags.patch 230 SHA256 bb56440fb9de9ed480b992d202feac93a53003e9fa47869f54c6f2f30d315720 SHA512 c4a2c66e6ea9b523ca9f5a3e37411221f5aa630de07d7bf84633855ac44d
a60b3b493671e578dbfd67de94e87ab1c79203f9b80b57f9460f2a81ee39f58171b3 WHIRLPOOL ca20e190c7a8d7ca69c6d90cfb28f8f1c8896b6793b9a026567ec4df4f7080ca6424ab249d01754db1059891d3236244417
8272489b4425e895f3031a0e1e0f7
DIST wireshark-1.12.1.tar.bz2 29059989 SHA256 82b26bd416ec15903b27785e35a622687008a743342054e96eaaeaa249be584b SHA512 840f348c8cdaa0e4d96c34e0a752f3d575d975ac8e61b31f6456a0eba4b4
84268651c96b943cfe213a6c40edcb18670ec921564413c052fcafdf32b2c8523929 WHIRLPOOL f98131bde6680370943cf6070cb44c6ad96d42060573e521051b81ad9d934b03741bb4d75a1d30762eebf5f22387f9eb715
8acee4caee2503c4eafff52a12ada
EBUILD wireshark-1.12.1.ebuild 5439 SHA256 85e392623cbf466e784386f781471c315ca14e19c6c7260c7b82d992934fed8b SHA512 9eac78d3911bcb471cc61dfcb191d9a62627c5b05235633b0d1aad4a4f2f368
89f62426bcb67a5de5d7a9966989fe7770f0cc191fa3180d517f33f9ab69f9452 WHIRLPOOL 06110f7000b4385d6607b30cd4cce44c2efe46d881c9916d6be7ced180674fcc8e90483cf8a25f8b7c9f6bce8afa5b7ac5d76f
8430509b165bc6693b21c5716e
MISC ChangeLog 95709 SHA256 26c4a798b2efa2522cef58aab62e77988d53eebe676f586fd418f32d679aaf43 SHA512 9739bc8286e9bcf275d05d36ada306492c8201029350880764b39c6be06e67f3b7b8eb6d1c39f9
b4c628299119f6103f860017fc0356d185aa270f75115b75a2 WHIRLPOOL 745d20f1bb580ebf759f684f3086fcf5deac54da9589d727af2ced22495eb44bc0aaa661e1091777b37ea879aa25ca7807d9bae5ebfbdbc18013c
40da2bb363f
MISC metadata.xml 2372 SHA256 be7d784e5fc20f46fe7d7dc96c63a8d15692e8db80dee6f3fc8980f13e99cc52 SHA512 6249bd454d51ad91bec2355770e918c04f8034c6e7ba1f7b73874e00ba4df11ba5430d3a1ea0
6a7b353590f46e1c217e860666265386a3bf4041da1a647ba885 WHIRLPOOL 42a010b8903920f1f18a4605e8ab52c9b1d4e6cb3453c4dd0da3fd2e9507475514edeaac811d317c51c735db77c81c85b26632ae2ad13d71248
9372d166be25c
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v2iEYEAREIAAYFAlQmmGwACgkQVWmRsqeSphO1cACeM+Or/TPQ0vgB25/Qh69G56uN
ZYIAn3if38pWpCztZCTYgvweEAdhGPcp
=VW+a
-----END PGP SIGNATURE----- -
Ondřej CaletkaZlatý podporovatel
Jenomže portage se šíří nešifrovaným rsync protokolem, nikoli po SSH. Ano, GPG podpisy manifestů jsou, ale zatím na dobrovolné bázi a zatím se neprovádí automatická validace.
