Populární zdravotnický open-source OpenEMR obsahoval spoustu zranitelností

Ano, psal jsi to tak, avšak přitom máš "plnou hubu" OSS, který s tímto jevem má pramálo společného.

Domýšlíte si do mých vět něco, co jsem v nich nepsal. Tvrdím pouze, že OSS není o nic bezpečnější a že je zase náchylný k jiným rizikům.

Uzavřený softare = nevíte, co tam je, ale neví to ani obecný hacker. Analýzu binárního kódu může udělat hacker, stejně jako veřejnost. Úspěšnost takové snahy nebude vysoká. U uzavřeného vývoje je rizikem lajdák zaměstnanec, ale protiváhou je to, že riziko nevejde jen tak ve známost.

Otevřený software = teoreticky můžete vědět, co v něm je. Nastupuje ale fenomén sociální lenosti (každý očekává, že někdo jiný to zkontroloval), což se už několikrát projevilo tím, že velmi nepříjemné chyby byly v některých programech roky bez povšimnutí. Rizikem je, že otevřený zdrojový kód může levně zanalyzovat kdokoliv a bude úspěšnější, než při pitvání binárky. U OSS jde o to, jestli takový audit udělá dřív "veřejnost" nebo třeba nějaká vládní agentura. V prvním případě sehraje otevřenost kódu pozitivní roli - bude opraven. V druhém případě negativní roli, protože někdo bude znát chybu a velmi dobře si ji může zmapovat a zneužívat.

zapomínáš na klasické neduhy firemních closed řešení

Uvědomuji si je. S těmi neduhy se dá ale pracovat. Pořizuji licenci nějakého software a vím, jaký má životní cyklus a jakou úroveň služeb si s licencí pořizuji (SLA). Mám pak jasnou cenu za jasné období užívání a s tím se samozřejmě dá pracovat. Zjednodušeně řečeno: chci-li mít jistotu správné ekonomické úvahy, pak počítám, že mi Windows server bude žít např. 5 let, Windows stanice 2 roky, Office 3 roky, ..., a zvážím, jestli si software zaplatím jednorázovým poplatkem nebo na měsíční bázi. Ano, bude mě to stát víc peněz než když to budu dřít do mrtě, ale zase mám prakticky eliminovaná rizika s tím co píšete - s updaty, podporou, ...

Troufnu si tvrdit že v OSS se takové věci nedějí, nedovedu si představit kdo se pod to veřejně podepíše a doufá, že mu takový pull-request projde.

Právě pro tento odhad neexistuje žádná opora, můžeme se o tom pouze dohadovat. Vy si toto myslíte, já si zase myslím že v našem světě existují síly (např. vládní agentury), které mají tak obrovské prostředky, že mohou do OSS jen velmi jemně zasahovat. Stačí úplně mrňavé opomenutí v RNG, které dokáže oslabit sílu generace klíčů. Takovou "chybičku" je schopný vyprojektovat matematik s nějakým rozpočtem na svoji práci. Ale aby takovou chybu někdo odhalil, musel by zaplatit jiného matematika, který to podrobí oponentuře. A zde je ta slabina: na tuto činnost není nikdo, kdo by ji financoval, a financování zpětné kontroly je dražší, než cíleně kód oslabovat. Stejně jako musíte uvažovat o rizicích uzavřeného vývoje, bylo by bláhové zavírat oči před tím, že mohou existovat jiná rizika v OSS.

"Ale aby takovou chybu někdo odhalil, musel by zaplatit jiného matematika, který to podrobí oponentuře."

Opomijite existenci vyzkumu (prevazne?) z akademicke sfery. Najit takovehle chyby je neco, na cem se da udelat jmeno - a to je v dnesnich podminkach k nezaplaceni

Opomijite existenci vyzkumu (prevazne?) z akademicke sfery. Najit takovehle chyby je neco, na cem se da udelat jmeno - a to je v dnesnich podminkach k nezaplaceni

Nevím, jestli někdo má dost odvahy na to, aby riskoval, že třeba stráví 3 měsíce svého pracovního života "zadarmo" a bude zkoumat něco, kde třeba ani na nic nepřijde? Bude takových odvážných vědců dostatek proti těm, kteří mohou být placeni na druhé straně? Nebude se vědec raději věnovat něčemu, na co jsou vypsané granty? A když už tento náš hypotetický vědec na slabinu přijde, jakou má motivaci ji zveřejnit oproti tomu spolupracovat (za peníze) s vládou svojí země (která jeho schopnosti ráda ocení)? Přijde mi to jako boj těch kteří "možná mohou" něco udělat, proti těm, kteří "mají jednoduchou možnost" cokoliv udělat.

V posledních letech byly v OSS objeveny slabiny, které byly do nebe volající, a byly tam roky.

A za pravdu mi dává i dosavadní praxe (mimo opravdu specializovaných firem) a vypadá to, že jestli bude někdo cíleně oslabovat (asi mnohaletém úsilí s trochou štěstí pro neodhalení ) nějaký důležitý OSS kód a nebo jeden nasraný (nebo podplacený - a že v historii inteligentních služeb je takových případů bžilión - či chybující) zaměstnanec v nějakém nedokonalém prostředí uzavřeného teamu je ve výsledku jedno.

Já si myslím, že hlavní problém je, že seriozní srovnání na toto téma nikdo nezpracoval. Není zde nikdo motivovaný takové rešerše provádět. Nejsme schopni říct, jestli snaha o cílené oslabování existuje, jak je častá a jak je závažná.

Pak je tu ještě geopolitický aspekt: někomu (a já se mezi ně počítám) může být stokrát milejší představa, že moje soukromí narušuje USA, než Rusko. Jsem si prakticky jistý, že v mých Windows jsou mechanismy, kterými může v extrémním případě ameriská vláda nahlédnout, ale nebudou tam žádné cílené mechanismy ve prospěch Moskvy. U OSS to vůbec nevím.

OK, začněme odzadu. Nainstlaoval jsem si Ubuntu, jenom kernel má okolo 25 milionů řádek kódu, celé distro nejspíš velké stovky milionů. Jak si můžu rychle a legálně zkontrolovat, že v kódu nejsou záměrně zanesené nějaké záludnosti?

Souhlas že šmírovat uživatele by neměl nikdo.

Rusko samozřejmě je hrozba. Jde o autokratický režim, prokazatelně falšující volby, který opakovaně vyhrožuje evropským zemím jaderným úderem, provedl nelegální anexi Krymu a zahájil válku na Ukrajině. Rusko má ekonomiku jen velikosti Španělska, prakticky zcela závislou na vývozu surovin, a dovážející všechno od připínáčků a instantní kávy přes léky, čerpadla, obráběcí stroje, klimatizace, elektrické generátory, lepidla, barvy na vlasy, opalovací krémy, čistící prostředky, trubky, radiátory, ubrusy, spodní prádlo, laboratorní přístroje, pneumatiky, body, zavazadla, auta, elektroniku a počítače...
https://atlas.media.mit.edu/en/profile/country/rus/

Nebezpečí je ale hlavně v tom, že Rusové zjevně nerespektují právo ostatních zemí určovat vlastní zahraniční politiku. Ukrajinci by o tom mohli vyprávět, stejně jako Norové a další, kterým Rusové vyhrožují jaderným úderem. Osobně bych nerad viděl v ČR znovu ruskou okupaci. A nechci v ČR ani posilování ruských zájmů a ruské manýry: potlačování svobodných médií a svobody slova, falšování voleb, megakorupci atd.

Jak si můžu rychle a legálně zkontrolovat, že v kódu nejsou záměrně zanesené nějaké záludnosti?

V zásadě, proč byste to vůbec dělal? Musel byste totiž v tu chvíli auditovat i operační systém, i hardware a jeho management udělátory, ..., pročež zjistíte, že stejně nemáte v ruce nic pevnějšího, než víru v určité vendory.

Nepotřebuji obhajovat Rusko, ale "západ" je momentálně bohužel "větší svině - BOHUŽEL - je mi líto.

Jak se to vezme. USA a Západ pochopitelně mají agenturní sítě na stejné (a asi i vyspělejší) úrovni než Rusko. Jsou zde ale dva velké rozdíly. 1. demokracie je na Západě tak hluboko v lidech zakořeněná, že se stejně každá sviňárna záhy provalí (v Rusku naopak prakticky nikdy), 2. Západ daliko uvážlivěji nakládá s možnostmi, které má; agenturní mechanismy mají, zdá se, víc kontrolních pojistek, než v Rusku... To, že se k Vám nedonesou informace o tom, co Rusko dělá, neznamená, že je lepší. (Seznamy vězňů v gulazích Rusko také nikdy nezveřejnilo, ale těžko z toho můžete dovodit, že nikdy nikoho nevěznili).

Jenomže zrovna tohle tu nedělají Rusové. Např. poslední kdo vytvářel seznamy "nepohodlných" médií byly ty posrané pražské sluníčka z kavárny - tolik tolerance mají pro všechny z afriky až jim žádná nezbyla pro lidi s opačným názorem ....

On je trochu rozdíl, jestli oponenta netolerujete toliko metodami ignorace, nebo jestli oponenty perzekvujete podobně, jako v Rusku nepohodlná média, novináře či podnikatele.

Víte, Kentane, asi si málo uvědomujete, že v Rusku byste nemohl veřejně hlásat tak otevřenou kritiku vůči vlastní zemi, jako zde můžete. Já jsem za to například neskonale rád a považuji to za velkou hodnotu západní společnosti. Bylo by asi potřeba si víc připomínat, že svoboda není úplně samozřejmá.

Podle mě si zaměňujete svobodu s anarchií. Resketovat řád není na úkor svobody. Na úkor svobody je potlačovat volné vyjadřování, volnost pohybu, práva na ochranu majetku atd. Vaši argumentaci používali předlistopadoví politici, kteří taktéž tvdili: podívejte, i na západě, i u nás se občan musí podřídit zákonům. To je samozřejmě pravda, ale co představuje rozdíl je to, jakým způsobem zákony vznikly, jak je mohli lidé ovlivnit a s jakou razancí a zneužíváním jsou vykonávány.

Rozpad Sovětského svazu byl nevyhnutelný. Vyjádření k tomu, jestli to byla tragédie, je čistá demagogie. Ano, kdyby býval Sovětský svaz fungoval, byl by v mnoha ohledech dobrým uspořádáním. Ale on nefungoval. Podobně mají lidé tendenci hodnotit revoluční československý průmysl a lají, že je škoda, že skončil. Ale on neskončil kvůli tunelářům - on skončil, protože nebyl životaschopný; tuneláři dokonali jen dílo skázy tím, že majetek, který by se stejně musel rozprodat, byl rozprodaný do kapes jednotlivců. Ale i kdyby tu polistopadové průsery nebyly, československý průmysl by skončil tak jako tak. Nebo podobně můžete na mezinárodním poli honotit svržení tyrana Saddáma Husajna. Jednoznačně je správné svrhnout diktátora a tyrana. A je hodně zlé nyní říkat: za Saddáma tam byl pořádek. Inu byl, ale za jakou cenu? Za cenu, kterou jsme my, svobodní občané planety mlčky tolerovat?

Vy byste mě rozesmál. Saddam například v rámci genocidní operace al-Anfal zabil okolo 170 000 civilistů. Bombardování, použití chemických zbraní, systematická destrukce osad včetně poprav veškerého obyvatelstva, masové deportace, koncentrační tábory, hromadné popravy, násilná arabizace a přesuny stovek tisíc lidí v rámci země... To vše spácháno na vlastních občanech. Přitom jde jen o jednu z epizod Saddámovy krutovlády, byť je to jedna z těch krvavějších. A co vy byste s takovým člověkem udělal? "Vyzývat, ukazovat směr, dávat jim rady a dokonce finanční pobídky, obchod..." Jo, to je fakt super strategie. Ještě byste mu mohl zazpívat, třeba by pak s tou genocidou přestal :)
https://en.wikipedia.org/wiki/Anfal_genocide

Když jsme u toho "stavění do latě". Co má podle vás mezinárodní společenství udělat, když se někdo dopouští genocidy na vlastním obyvatelstvu? Národní trestní právo zjevně nefunguje, protože příslušný diktátor je ve své zemi beztrestný, a pokusy pohnat ho k odpovědnosti vedou pouze k záhubě těch, kdo se o to snaží. My můžeme buď jen přihlížet, nebo zasáhnout. Když přihlížíme zvěrstvům a nic neděláme, je to asi špatně. Když se do věci vložíme například sankcemi, nebo v případě nutnosti i vojenským zásahem, tak je to podle řady lidí také špatně. Navíc je dost těžké lidem vysvětlit, proč mají ze svých daní platit zásah v nějaké rozvojové zemi na druhém konci světa, a proč odtamtud přilétají zpátky domů mrtví chlapci v pytlích. Podle mě je velikou otázkou k diskusi zda se do podobných akcí zapojovat, za jakých podmínek a jakým způsobem.

Nejde o žádné "zveličené kecy" ani dezinterpretace. Rusko je opravdu zjevně autokratické. Mimochodem velké procento Rusů dodnes obdivuje Stalina, který zabil podle všeho víc lidí než Hitler, většinu z nich navíc vlastních. V Rusku se opravdu zcela prokazatelně dochází k systematickému falšování voleb, důkazy jsou jasné. Rusko opravdu vyhrožuje jadernými údery, zvlášť pokud se nějaká země cítí jaksi nesvá z toho co Rusko provedlo na Ukrajině, a uvažuje například o vstupu do NATO. Rusové jsou nakonec rádi za fiktivního vnějšího nepřítele, protože ruská ekonomika pokulhává na všechny tři nohy, a Velký Vůdce se z toho může snadno vyvléknout tvrzením, že za všechno může protiruské západní spiknutí.

Ohledně toho respektování volby zahraniční politiky jiných zemí. V UK se rozhodli, že opustí EU. Víte co udělala EU? Vyjádřila politování, a zahájila s nimi jednání o budoucím uspořádání. Představte si ale jiný scénář. Do Británie by vpadla francouzská a německá vojska, obsadila by Londýn a okolí, svezla poslance do parlamentu a nechala je odhlasovat referendum, které by se poté uskutečnilo pod hlavněmi těch vojáků. Londýn a Skotsko by se po "referendu" odtrhly do republik, které by uznávala jenom EU, a na hranici se zbytkem UK by vojáci EU vytvořili zamrzlý konflikt, který by občas trochu "rozmrazili" nějakou drobnou invazí, raketami apod. To by celé bylo přesně v ruském stylu. Dochází vám ten rozdíl?

Ad je to o způsob výkladu a bohužel v tomto mezi západem a východem není rozdílu krom růžových brýlí a odznáčku "demokracie" - LOL. V Rusku se například ve velkém systematicky falšují volby, vládnou tam beztrestní oligarchové stojící nad zákonem, celá země je prolezlá megakorupcí… Ale jinak je to tam vlastně jako v Evropě nebo US, až na ten odznáček "demokracie" :D

Ad ušli 100x větší kus cesty než my - Poté co Rusko prohrálo studenou válku jsme jim nijak nestrkali nos do výkalů. Naopak jsme s Ruskem dělali business, sháněli jejich vědcům práci (včetně toho že Američané nechali ruské specialisty postavit základní modul ISS Zarya), pomáhali jsme jim vytvářet zákony, školili jejich soudce a policisty, otevírali společné podniky. Tu rozvojovou zemi jsme dokonce pozvali do klubu sedmi nejrozvinutějších zemi světa G7, ze kterého jsme udělali G8. A kam to Rusové dotáhli? Falšování voleb, nepřipouštění opozičních kandidátů k volbám, vězení za účast na demonstracích, nulová vymahatelnost práva, vláda oligarchů, prezidentem agent KGB, hrozby jaderným konfliktem, invaze a zamrzlé konflikty, anexe Krymu a válka na Ukrajině v rozporu s mezinárodním právem i Budapešťským memorandem. Kam to tedy podle vás Rusko vede? Podle všeho směrem ke stalinistické diktatuře. A to svinstvo na Ukrajině natolik poškodilo vztahy Ruska se Západem, že Rusko nejspíš čekají celé dekády izolace a stagnace.

Ad poslední kdo vytvářel seznamy "nepohodlných" médií byly ty posrané pražské sluníčka z kavárny - o jakých seznamech mluvíte? On někdo sepsal seznam notoricky známých dezinformačních hnojometů typu Aeronetu, Parlamentních listů apod., nebo co se stalo?

Ad Putin... vyjádřením: "Rozpad Sovětského svazu byla největší tragédie" a on přitom řekl "Rozpad Sovětského svazu byla největší tragédie, protože se miliony rusů najednou ocitli za hranicemi a doma zavládl na roky chaos a bezvládí" - Vy tragéde! Dochází vám, že z toho projevu existuje záznam a oficiální transkripce, takže to vaše "...tragédie, protože spousta Rusovů..." je možné ihned označit za vaší vědomou lež? Mimochodem podobnému vývoji čelily i západní země, když jejich kolonie vyhlásily nezávislost. Mnozí jejich občané a krajané se najednou ocitli mimo britské, francouzské, italské atd. impérium. Na rozdíl od Putina ale dnes Západ netvrdí, že bylo v pořádku ty země obsadit, a neprovádějí nelegální anexi jejich území.
"Прежде всего следует признать, что крушение Советского Союза было крупнейшей геополитической катастрофой века. Для российского же народа оно стало настоящей драмой. Десятки миллионов наших сограждан и соотечественников оказались за пределами российской территории. Эпидемия распада к тому же перекинулась на саму Россию."
"Především je potřeba si přiznat, že kolaps Sovětského svazu byl největší politickou katastrofou století. Pro ruský lid se to stalo opravdovým dramatem. Desítky milionů našich spoluobčanů a krajanů se ocitly mimo ruské teritorium. Epidemie rozpadu se navíc přeskočila i na Rusko."

Jenom za 10 let války do roku 2013 zemřelo 500 000 lidí - to bych řekl že je "trošku" víc než za Sadáma - ale pro tebe blbečku ještě jednou: tím ho neobhajuji, jenom tvrdím, že rozpoutat někde válku není řešení. Když 170000 lidí je genocida, co je 500000? - to že je zabili demokraticky jim nijak nepomůže.

To je sakra velký rozdíl a máte v tom zmatek. Genocida se vyznačuje tím, že se jedná o cílenou snahu vyhladit určitou skupinu lidí. Abyste to byl schopný pochopit: na silnicích zemřou ročně desítky lidí a většina řidičů odejde s podmínkou. Oproti tomu, vrah jednoho člověka jde do vězení na dlouhé roky. Výsledek je stejný, pohnutka jiná a hodnocení a trest také jiné.

V době kdy zasahovali na nikom nic nepáchal, naopak se jim snažil zavděčit protože věděl že je na mušce - takže po něm mohli chtít cokoliv - ale to by se nenažral zbrojní průmysl

Nojo. S Kimem je vlastně taky dobré popovídání u večeře.

A co je tobě do toho. Nechceš aby se osi sral* do nás, tak co se **** ty do nich? Ostatntě to že je něco autokratické ještě automaticky neznamená že je to špatné nebo zlé. Jenom je to jiné.

Ehm, jaksi okomentovat vztah v Rusku je řádově menší sraní se, než když Rusko pošle někam tanky. Sakra, do které to země vtrhli před padesáti lety? Ale máte pravdu, ono stačilo, aby se lidé sami bránili.

Rusko za 50 let v podstatě samo ušlo cestu od komunistického Stalinistánu až k relativně svobodné zemi blížící se naivní západní představě na rozdíl třeba od Německa, které vedli američané za demokratickou ručičku 50 let ....

Právěže ten posun není vůbec dostatečný. Rusko se přizpůsobilo době a vyladilo komunikační strategii a zapracovalo na sebeprezentaci.

Celé to stojí na tom, že se dělá z Ruska nějaká Severní Korea, ale neboj se disidenty a odpůrce vlády kteří ti povykládají koho jejich vláda už za názory zabila máme i na západě i v USA ... Akorát že směr západ jsou to "jenom" konspirace

Rusko to má jako státní doktrínu a vede propagandu tak, že běžní Rusové věří, že potírání opozice je správné. Pokud se nějaký incident stane za Západě, obyvatelé vědí, že je to špatně a že to má být potrestáno. Rusové takovému postupu ještě tleskají. V tom vidím rozdíl.

A to ta válka v zemi, kde se nachází i civilisté byla nehoda? Jsou méně mrtví?

Válka je vždy krajní řešení, o tom není pochyb.

Jo, je. Vždycky když má na mále, tak trošku ustoupí.

No zrovna Kim se svými "ústupky" dostal až k atomové zbrani. Opravdu převelefungující taktika.

proč nestrašíš německem ve stavu před 70 lety? Nebo Rakouskem před 120 lety?

Protože Německo i Rakousko se se svojí minulostí plně vyrovnaly.

A pravdou je, že my, NATO, máme tanky ve více zemích - oh, ou, aou - samozřejmě naše tanky a bomby osvobozují, zatímco Ruské zabíjejí ... zapoměl jsem ...

NATO ani žádná země NATO nikdy nevedla válku za účelem získání území.

Ten posun je obrovský - neříkám, úroveň je to slabá, ale ten skok v relativních číslech je obrovský

Když dítko neumí na konci první třídy počítat do deseti a na konci třetí třídy umí počítat do sta, také se posunuje relativně vpřed. Přesto to nestačí na to, co je potřeba pro život.

Ad nemyslím že s Diktároty se má bojovat 20 lety rozbomrardování civilistů; co je 500000 - Oni snad Amíci zabili půl milionu Iráčanů? Chápu že Arabové rádi házejí vinu na Amíky, židy, "křižáky" a kdo ví koho ještě, ale je to nesmysl. Toho půl milionu Iráčanů zabili skoro kompletně Iráčané. Šíité začali šlapat do sunnitech skoro jako sunnita Saddám po šíitech, a obě strany se začaly střílet do co šlo. Nutil je někdo do toho? Nutil je někdo zakládat desítky milic, včetně těch vedených kleriky(!)? Nutil je někdo provádět bombové útoky, střílet do davů, odpalovat bomby v mešitách atd.? Přiznejme si to: největším problémem Iráčanů jsou Iráčané, a obecněji největším problémem Arabů jsou Arabové.

Ad rady, pobídky byly řečeny směrem k obyvatelstvu a to si ho pak rychle svrhne samo - LOL. Například v roce 1991 vypuklo povstání proti Saddámovi. Jeho armáda střílela co to šlo, z děl, tanků, helikoptér, používali lidské štíty, prováděli hromadné popravy, došlo ke spoustě mučení, znásilňování, někteří lidé byli upáleni za živa. Zemřelo cca 200 000 lidí. V roce 1999 při jiném povstání to na místě odnesly menší počty, ale brutalita režimu bylo podobná. Mimochodem jen při Anfal genocide a těch povstáních v roce 1991 Saddám zabil víc lidí, než kolik jich zemřelo po americké invazi.
https://en.wikipedia.org/wiki/1991_uprisings_in_Iraq
https://en.wikipedia.org/wiki/1999_Shia_uprising_in_Iraq

Ad zjisti, kdo mu během toho al-Anfal, tedy v době války s Iránem dodával zbraně a podporoval ho - Amíci podporovali Saddáma proti Íránu, což celkem dovedu pochopit. Zásahy Saddáma proti Kurdům byly podle všeho pro US bodem obratu. Ohledně Kurdů byla později přijata rezoluce RB OSN číslo 688, na základě které US mimo jiné zřídily nad Irákem no-fly zones.

Ad Proti zásahu proti genocidě nic nemám. - Spousta lidí ano, s tím že nemáme nárok uvalovat na jiné národy svoje standardy. Navíc to celé musí platit Západ, a nakonec na naše vojáky začnou střílet všichni místní, protože je mají za okupanty - jako v Mogadishu :/. Takže jestli vy vidíte nějaký clear cut, tak já ne.

Ad příklad s EU a Británií... EU nevyjádřila politování, ale začala vyhrožovat že jim to dá sežrat jak bude moct - Je mi celkem jedno, jaké přirovnání zvolíte. Faktem je, že je nemyslitelné, aby někdo proti Británii poslal vojska jen proto, že si svobodně vybrala zahraniční politiku. Rusko bohužel takhle nefunguje, a klidně napadne sousední stát, protože si vybral zahraniční politiku, která Rusku nevyhovuje.

Ad "ve velkém systematicky falšují volby" je mediální obrat, nikoliv fakt - To je tvrdý fakt. Koukněte na krásný histogram, který ukazuje, jak to vypadá, když volební komise po celé zemi dostanou zadání "strana United Russia musí dostat u vás 50%, u vás 55%, u vás 60%" atd. Volební komise z toho udělají méně okatá čísla jako 50.2%, 54.7%, 61.6% apod. Totéž u volební účasti, a stejně také u prezidentských voleb. A takhle to pak vypadá vynesené v grafu. Všimněte si těch krásných špiček po pěti procentech. To není žádné "občas se prostě něco stane", ani "my máme odznáček demokracie". Ruské volby jsou prostě natvrdo *zfalšované*, prakticky po celé zemi. Bohužel nejen v roce 2011. Začíná vám docházet, že ta podle vás "relativně svobodná země", která podle vás "autokratická... neznamená že je špatná", je ve skutečnosti postavená na podvodu a diktatuře?
https://upload.wikimedia.org/wikipedia/commons/6/64/2011_Duma_votes.svg
https://arxiv.org/pdf/1205.0741.pdf

Ad seznam notoricky známých dezinformačních hnojometů; i kdyby pracovali pro Rusko, tak každý má právo říct k věci svoje, i když to ti vybraní, ti správní, označí jako dezinformace - Co to melete za nesmysly? Na prvním místě tu máme svobodu projevu (a na rozdíl od toho Ruska i svobodu po projevu), takže ty hnojomety mohou dále fungovat. Na druhém místě je ten váš relativismus odporný. Nejsou všechny názory stejně kvalitní nebo stejně pravdivé. "Židy/cikány/mus­limy/cizince je potřeba nahnat do plynu" není názor jako každý jiný. "1+1=42" nejsou "alternativní fakta", ale prostá lež. Dělat rovnítko mezi pravdou a lží, s tím že lež je názor jako každý jiný, je nesmyslné, a dovolím si říct že zvrhlé.
Ty dezinformační hnojomety, ke kterým tolik tíhnete, mají navíc problémy nejen s tím, že píšou na zakázku (například Parlamentní listy dostaly stovky tisíc za příznivé texty o Haškovi, které nebyly označené jako reklama), vytrhují informace z kontextu a zcela volně míchají dohromady informace s komentáři. Ony také publikují informace naprosto bez ověření. Dva příklady za všechny: Parlamentní listy s klidem vydaly články zaslané pány Goldmannem a Binderem. První s název "Tohle vám vyrazí dech. Údajné teroristické útoky v Evropě mají jediný cíl. Chtějí ovládnout naše životy a města. O koho se jedná vás (možná) překvapí!" mimo jiné tvrdí, že cílem teroristických útoků je donutit lidi jezdit ve městě na kolech. Druhý s názvem "Jan Beruška: Trump jako Havel aneb Návrat humanitárního bombardování" mimo jiné tvrdil, že Američané práškují Syřany chemtrails. Když to prasklo, tak články prostě tiše smazali. Druhý příklad je aprílový článek na tyden.cz, podle kterého vláda darovala Brdy Amíkům. Text přebrala spousta dezinformačních hnojometů, které čtenářům vysvětlily, že vlastizrádná vláda zaprodala republiku tím že darovala území Amíkům (proč oddělovat informace od komentáře, že?), dezinformační experti podobné texty přeposílali v hromadných mailech atd. Samozřejmě se tahle hovada neobtěžovala ověřit si to na ministerstvu obrany nebo na vládě. A neobtěžovala se ani přečíst ten článek(!), protože mimo různých absurdit také končil slovy "Takže pro čtenáře, kteří dočetli až sem, nezbývá než dodat: Apríl!". Dezinformační hnojomety mají ten popisný název z velmi dobrých důvodů.
https://zpravy.aktualne.cz/domaci/parlamentni-listy/r~b0558610268b11e7afda0025900fea04/
https://hlidacipes.org/velezrada-ceske-vlady-tajne-darovala-brdy-americke-armade-pisi-dobre-informovane-weby/

Ad "Rozpad Sovětského svazu byla největší tragédie, *protože* se miliony rusů najednou ocitli za hranicemi a doma zavládl na roky chaos a bezvládí" - Ne, Putin neřekl přesně to co jste napsal. Nebylo tam žádné "protože", které je v té vaší větě vylhané, a přitom naprosto klíčové.

Pokud jsem si všiml, tak i na projektech typu kernelu, driverů, základních frameworků a dister pracují nikým neprověření lidé. Předpokládám že třeba Red Hat přinejmenším ví, že jejich zaměstnanci fyzicky existují :). Ale to je celkem na nic, když přebírají spoustu zdrojáků vytvořených lidmi kteří žádnou prověrku nemají, a klidně to mohou být třípísmenkové agentury tvářící se jako vývojáři.

Myslíte že by se na případný problém snadno přišlo, protože přece všichni super-pečlivě studují zdrojáky? Tak si uvědomte, že třeba shellshock bug byl v bashi 25 let. Přitom bash najdete snad na každé instalaci Linuxu, a zdrojáky byly samozřejmě celou dobu k dispozici.

Jako spekulativní vidím tvrzení, že open source je bezpečnější, protože se každý může podívat do zdrojáků. Zjevně se do nich nikdo moc nedívá.

Tohle je zachycený pokus o vnesení backdooru do kernelu. Naštěstí dost primitivní, takže se ho povedlo odhalit.
https://freedom-to-tinker.com/2013/10/09/the-linux-backdoor-attempt-of-2003/

Uvědomte si, že schvalováním zjevně prošly commity zanášející do kernelu tisíce bezpečnostních problémů. Pokud není projekt schopný odhalit ani commity zahrnující nezáměrné chyby, tak proč myslíte, že bude nějak magicky schopný odhalit záměrně ukryté záludnosti?

OK, a jak moc na vašem projektu přidáváte kód? Jenom kernel Linuxu za posledních 5 let přirostl o 12.3 milionu SLOC. K tomu přičtěte utility, glibc, GTK+, Qt, X11, freetype, Cairo, gstreamer, gnome, cups, perl, python, dbus, systemd a mnoho tisíc dalších projektů, takže půjde dost možná o devítimístné číslo.

Souhlasím v tom, že řada malých SW firem (což jsou v ČR v podstatě všechny) nebere bezpečnost tak vážně, jak by měla. Rizika trochu snižuje ten fakt, že zaměstnanci musí fyzicky do kanceláře, ověřuje se dosažené vzdělání, přihlašují se k sociálnímu a zdravotnímu pojištění atd. Takže ti lidé minimálně fyzicky existují, dají se chytit za ruku, trestně stíhat atd. Většina open source projektů bohužel nemá ani tyhle základní - a veskrze nedostatečné - mechanismy.

Mimochodem jak byste komentoval tenhle incident? Útočník byl naštěstí v tomto případě dost hloupý, takže se to povedlo včas zachytit.
https://freedom-to-tinker.com/2013/10/09/the-linux-backdoor-attempt-of-2003/

Ano, minimálně 60% vývojářů kernelu má mail na doméně nějaké firmy, a nejspíš jsou to její zaměstnanci. To samozřejmě nedává moc záruk, ale lepší něco než nic. Jenže to je jako když jdete do restaurace, a manager vám řekne, že minimálně 60% jejich personálu neplive do polévky. Celkem logicky vás bude zajímat těch zbylých 40%. On totiž stačí jen jeden který do té polévky plive, a zkazí ji pro všechny.

Vy tvrdíte, že kdyby někdo chtěl záměrně zanést chybu, tak se mu to nepovede, protože každý commit schvaluje nějaký maintainer, případně i víc lidí. To je sice pěkné, ale přes ty maintainery zjevně prochází velká spousta bugů (ze kterách většina nejspíš nebyly způsobená záměrně). Minulý rok se jen v linuxovém kernelu našlo 453 bezpečnostních zranitelností. Jak se tam tedy dostaly, když se všechen kód pečlivě kontroluje, a problematický kód podle vás nemůže projít? Jednoduše: problematický kód zcela prokazatelně do kernelu prochází. Když nejsou schopni při schvalování detekovat ani nechtěné chyby, tak jak myslíte, že asi budou úspěšní při detekci záměrně ukrytých záludností?

Postgres má za 5 let nárůst cca 220 tisíc řádků kódu, což je ještě zvládnutelné, ale je to dané i typem produktu. Samozřejmě, že v operačních systémech řádky naskakují rychleji bo drivery.

Nevím nakolik znáte prostředí firem, které píší projekty, které jste zmiňoval. Aktuálně, vzhledem ke komplexitě projektů, téměř všechny projekty mají fulltime vývojáře - minimálně lidé, kteří commitují nebo bugfixují jsou dnes už fulltime - a jelikož je musíte vykázat v účetnictví, tak tam platí stejná pravidla. Minimálně pokud se bavíme o systémovém software, systémových knihovnách, které jste uváděl.

Podstatně horší situace bude u knihoven a nástrojů určených pro www aplikace - ale opět nečekám významnější rozdíl mezi uzavřeným a otevřeným softwarem.

Všechno je samozřejmě o lidech, nicméně šance, že objevíte podezřelý commit je u open source projektů hodně vysoká. Každý projekt má svou historii - např. https://github.com/postgres/postgres/commits/master a věřte mi, že u každého významnějšího projektu je dost lidí, kteří tuto historii sledují.

Ale jistě. To co tvrdí Lael a Miroslav je sice teoreticky správně, ale prakticky se to tak opravdu neděje. Kvalita kódu za tolik s OSS nesouvisí, i když podle mě má OSS určité "páky" na větší snahu ....

To, co píšete, nemá žádnou oporu. Chápu, že byste tomu rád věřil, ale racionální pohled to není.

Ano, spousta těch projektů má full time vývojáře, kteří nejspíš opravdu existují. Bohužel ty projekty ale mají spoustu kódu, který tam zanesly v podstatě anonymní entity. Schválně: jaké procento celého kódu PostgreSQL podle vás napsali vývojáři kteří měli s projektem smlouvu, ověřovali jste že opravdu existují, fyzicky jste je viděli, kontrolovali jejich totožnost, kontrolovali jestli absolvovali školy o kterých to tvrdí, kontrolovali domácí adresu a telefonní číslo, a udělali jste u nich alespoň základní background check? Tipnu si, že to bude méně než 1%. Ten doplněk do 100% jsou podezřelé entity - možná spolehliví lidé, ale možná virtuální vývojáři za kterými může stát kdokoliv.

Jak je vidět, v open source kódu klidně zůstávají bugy i 25 let. Rozhodně bych netvrdil, že když už někdo záměrně zanese "nevinnou chybu", tak je vysoká šance to odhalit.

Mimochodem nějak jsem nenašel vaše vyjádření k tomu linkovanému incidentu, kdy útočník přesně takovou "nevinnou chybu" přidal do CVS kopie kernelu. Byl to dost primitivní útok, ale jasně ukazuje, že se někdo snažil.
https://freedom-to-tinker.com/2013/10/09/the-linux-backdoor-attempt-of-2003/

Mohu Vám garantovat, že lidé, kteří commitují jsou skuteční - a přes ně jde 100% kódu. Co se týče vývoje - dejme tomu, že se vývoj dělí mezi 1/3 2ndq, 1/3 EDB a 1/3 ostatní jako Heroku, ... ti lidé se setkávají na konferencích, případně speciálních vývojářských konferencích, když je potřeba probrat něco komplikovanějšího.

Nikdo tu netvrdí a netvrdil, že v open source nejsou bugy - ať takového nebo onakého typu. Ty jsou v jakémkoliv sw. V open source si alespoň můžete ověřit jestli chyba byla opravena a jak. Nicméně Vaše dojmy o vývoji komplexnějších open source projektu jsou totálně mimo. Zkuste se seznámit s některými projekty - pak byste tu nemusel psát nesmysly.

Útoky na infrastrukturu nikdo nedokáže vyloučit - nicméně CVS je systém, který je už překonaný, a podobný útok na GIT už by se asi prováděl podstatně hůře. A jak je z článků patrné - detekovalo se to - a navíc jednoduchým porovnáním repozitářů by bylo možné identifikovat jakýkoliv problémový kód.

Nevzpomínám si, že by PostgreSQL měl někdy takové problémy jako MSSQL cca kolem roku 2001..2003, kdy se běžně security bugy MSSQL využívaly pro zavirování NT.

Otevřenost kódu dává možnosti útočníkům - na druhou stranu, prakticky všechny nástroje pro statickou analýzu kódu se trénují na větších open source projektech, a jejich výstupy jsou zajímavou a důležitou zpětnou vazbou.

https://www.viva64.com/en/b/0542/

Mohu Vám garantovat, že lidé, kteří commitují jsou skuteční - a přes ně jde 100% kódu.

...na výplatní pásce jakékoliv vlády může být i skutečný člověk... To, jestli je projekt open vs. closed source nijak zásadně nemění rizika... PostgreSQL považuji za výrazně nadprůměrně dobře vedený OSS projekt, v tom bych s Vámi plně souhlasil.

V open source si alespoň můžete ověřit jestli chyba byla opravena a jak.

Přeskočil jste jeden důležitý krok. A to, jestli se v open vs. closed source lépe ty chyby objevují. Podle mě je to nastejno, většinu chyb odhalíte neočekávaným chováním programu, než systematickou kontrolou zrdrojového textu.

Taky jste zapomněl na jednu skupinu rizik: u open source může na chybu někdo přijít, ale nereportovat ji. Dokonce může po objevení chyby někým jiným sledovat jak byla opravana a mnohdy i vysledovat, že nebyla opravena dostatečně. Bohužel, to, že někdo o chybě ví, vůbec neznamená, že o ní musí dát vědět a že toto zjištění musí posloužit dobru.

Nevzpomínám si, že by PostgreSQL měl někdy takové problémy jako MSSQL cca kolem roku 2001..2003, kdy se běžně security bugy MSSQL využívaly pro zavirování NT.

Dnes rizika nemusí zdaleka být tak spektakulárně exploitovatelná. Tomu, kdo má zájem, může stači i jen třeba ovlivnit RNG a obecně oslabit generování jakýchkoliv klíčů. Takovou chybu nemusí ani kontrola velmi zkušenýma očima odchytit.

"Taky jste zapomněl na jednu skupinu rizik: u open source může na chybu někdo přijít, ale nereportovat ji"

To u closed taky.

To není stejné. U opensource si může někdo zaplatit soukromý audit s tímto cílem.
Druhou metodou je zkoumat jinými lidmi objevená a zveřejněná rizika a už pak jen hledat, jestli byla opravena opravdu důkladně - mnohdy oprava není dokonalá.

U open source prostě přibývají další metody navíc, než jen blackbox testing.