Невероятные заявления о том, что разработчики под покровительством ФБР и
Министерства Юстиции внедрили бэкдор в IPSec стек операционной системы OpenBSD,
видимо не верны, утверждают эксперты.
"Не может быть, чтобы ФБР оплатило кому-либо создание бэкдора в OpenBSD, а
потом весь мир им пользовался. Так просто не бывает", - сказал И.Д.Хилберт,
президент Online Intelligence и бывший расследователь компьютерных преступлений
в ФБР. "Представьте себе последствия, если это было сделано. Это не может быть.
ФБР подчиняется инструкциям Министерства Юстиции и все действия Бюро должны быть
способны выдержать проверку судом".
Новости о том, что в
OpenBSD может быть бэкдор, впервые появились во вторник днем, когда
основатель проекта Тео де Раадт опубликовал электронное письмо, которое ему
прислал некто под именем Грегори Перри, чей бывший работодатель NetSec (сейчас
не действующий) предположительно выполнял некоторую работу над секретными
криптографическим фреймворком для ФБР в начале прошлого десятилетия. В
электронном письме утверждалось, что ФБР заплатило компании за внедрение бэкдора
в стек OpenBSD IPSec, так чтобы Бюро могло отслеживать частный трафик в
виртуальных частных сетях внутри Министерства Юстиции.
В то время было непрактично внедрять криптографию только в программном
обеспечении, много разработок использовало аппаратные ускорители и специальные
крипто-чипы и платы, чтобы ускорить работу IPSec в виртуальных частных сетях.
Одной из подобных плат, которую должен был поддерживать OpenBSD Cryptographic
Framework (OCF), была NetSec Hifn 7751.
"Если вы вспомните, некоторое время назад я был техническим директором в
NetSec и занимался сбором средств и пожертвований для криптографического
фреймворка OpenBSD. В то же время я давал консультации ФБР, для их Центра
технической поддержки (GSA Technical Support Center), то есть проекта по
декодированию, направленного на поиск обходных путей в системах защиты и
расшифровке ключей смарт-карты и других аппаратных компьютерных технологий", -
сообщается в письме Перри. "Срок действия моего соглашения о неразглашении с ФБР
недавно истек, и я хотел вас осведомить о том факте, что ФБР внедрило в OCF
некоторое количество бэкдоров и ключевых механизмов перехвата информации по
побочным каналам, с целью отслеживания системы VPN-шифрования между сайтами,
запущенными EOUSA (Генеральная прокуратура), вышестоящей для ФБР организацией".
Один из разработчиков OpenBSD, которого Перри упоминает в своем письме к Де
Раадт - некий Джейсон Л. Райт, соавтор OCF в 2003 году. В ответ на рассылку о
происходящем, Райт сообщил, что он ничего не знает о бэкдоре в операционной
системе.
"Я скажу прямо, что я не добавлял бэкдоры к операционной системе OpenBSD или
в OCF. Код, которого я касался во время работы, в большей степени имеет
отношение к драйверам, поддерживающим фреймворк. Я не думаю, что я когда-либо
касался isakmpd или photurisd (программы управления ключами), и я редко касался
"внутренностей" ipsec. Тем не менее я готов к проверке всего того, что я делал в
OpenBSD", - написал он.
Эксперты безопасности считают, что описываемые действия ФБР не только
неправдоподобны (вряд ли Бюро будет устраивать сговор для внедрения бэкдора в
широко распространенный общедоступный пакет программ), но это заявление еще и
очень сложно опровергнуть. Команде OpenBSD будет практически невозможно сделать
безоговорочное заявление, что бэкдора не было. Доказать отсутствие - нелегкое
дело.
"Это будет практически невозможно доказать или опровергнуть", - сказал Нейт
Лосон из Root Labs, криптограф и эксперт в сфере безопасности, который выполнил
много работ по встроенным устройствам и аппаратной безопасности. "Эти заявления
почти точно неправильны, по крайней мере в широком понимании (скрытые каналы,
встроенные в основный исходники OpenBSD). Возможно, что кто-то добавил бэкдор в
индивидуальные (возможно, созданные частным образом) OpenBSD-исходники или
бинарный дистрибутив. Существует множество способов, как это могло бы быть
сделано, от простых и очевидных до еле уловимых и изощренных. Возможно создать
что-то, что выглядит как простая ошибка в коде и назначение которой будет
невозможно доказать".
Однако единственный возможный сценарий состоит в том, что кто-то намеренно
внедрил уязвимость в частным образом модифицированный экземпляр OpenBSD или в
один конкретный двоичный файл. Если ФБР – или кто угодно другой – потратил на
это время и усилия, проблему будет не только сложнее выявить, но и сложнее
опровергнуть, так как только люди, участвовавшие в ее создании, будут иметь в
этому коду доступ.
"Мы говорим о коде десятилетней давности для одной конкретной платы, которой
сейчас никто не пользуется", - сказал Лосон. "Если это действительно такой
случай, то ФБР им никогда и не пользовался или использовал против одного
человека. Кто знает, что они с этим сделали? Но все это звучит неубедительно.
Возможно это всего лишь небольшое изменение одного компонента аппаратного
обеспечения. Если это не очевидная вещь, то ее будет очень сложно воссоздать. И
мы говорим о платах на машины, которым сейчас уже десять лет по меньшей мере, и
это в реальности ни на кого не влияет".
Де Раадт сказал в своем сообщении в рассылке OpenBSD, что он понятия не
имеет, верны ли эти заявления. В интервью, данном в среду, де Раадт сказал, что
он и вся команда OpenBSD сейчас заняты проверкой обсуждаемого кода, но до сих
пор они не получили никаких подтверждений о том, что бэкдор есть.
"Со вчерашнего дня мне нечего добавить к этой истории. Наша группа все еще не
знает, правда ли это или нет, и наша проверка пока ничего не обнаружила. Я сам,
как и все остальные, хочу выяснить, правда ли это, и если это так, найти
предполагаемые бэкдоры, чтобы исправить их", - прокомментировал ситуацию он.
Заявления о проспонсированном ФБР бэкдоре в OpenBSD звучат как отголоски
спора относительно сильного шифрования в начале 90-ых. Федеральное правительство
в то время было весьма обеспокоено тем, что надежные алгоритмы шифрования
экспортируются заграницу и предложило, что экспорт будет позволяться только если
правительству будет дан первичный ключ, который разрешит расшифровку сообщений.
Эта затея прошла не очень удачно, и вслед за гневным протестом сообществ в сфере
безопасности и конфиденциальности, идея в итоге была заброшена.
Хилберт, бывший агент ФБР, сообщил, что Бюро – как и многие федеральные
агентства – действительно делает проведение строгих проверок любого нового
пакета программного обеспечения для внутреннего использования. Эта проверка
может включать оценку уязвимостей и попытки найти слабые места в приложениях, но
это не то же самое, что намеренно внедрять уязвимость и затем предлагать
приложение для массового пользования.
"Каждый раз когда появляется новый пакет программ для использования отделом
расследований, его разбирают по кусочкам, чтобы убедиться в отсутствии бэкдоров",
- сказал он. "Это вопрос оценки риска и анализа. Мы должны знать параметры того,
с чем мы работаем. Мы должны проверять. Это то, что должно происходит
непрерывно, так как люди пытаются найти обходные пути в системе безопасности.
Занимаются ли этим и другие люди? Вероятно. Но не ФБР. Это не группа
злоумышленников, как их пытаются изобразить".
