Cuba velger Linux

[Langbein]

Og selv om Windows-koden ikke er Open Source, så betyr ikke det at ingen utenfor Microsoft har tilgang til den. Det er gitt source code lisenser til både forskninginstitusjoner, universiteter og statlige organer.

Jeg er 99% sikker på at dette "Shared Source"-initiativet til Microsoft bare omfatter visse deler av Windows, f.eks. deler som er akademisk interesse.

 

At absolutt hele Windows er tilgjengelig på denne måten, og man bare kan laste ned kildekoden og kompilere hele Windows på egenhånd klart til installasjon - neppe!

 

Og hvis det var tilfelle så hadde nok komplett kildekode til winxp, vista osv. ligget ute på TPB for lengst

 

Så det overrasker meg ikke at NSA stoler mer på GNU/Linux enn Windows.

Endret 25. februar 2009 av Langbein

[nebrewfoz]

Dine konspirasjonsteorier er like gode som mine.

 

Jeg er ikke så paranoid at jeg kompilerer min egen Linux-kildekode. Jeg laster ned Ubuntu og stoler på at det ikke er lurt inn noen bakdører der. På samme måte som jeg stoler på at det ikke er lurt inn noen bakdører i Windows.

Du sier at vi ikke kan vite om noe er lurt inn i koden under kompilering, men er du klar over hvordan denne prosessen foregår?

Ja, men du fokuserer på feil sted.

 

Jeg antyder ikke at OpenSuse gjør en bevisst feil for å legge inn noe "grums", men at "noen" kan ta en kopi av OpenSuse, "tukle" med den, lage et forfalsket ISO-image og få dette distribuert til et visst antall brukere på en eller annen måte. F.eks. ved å lage en privat "torrent" av det, eller ved å infiltrere en server, eller ...

 

En person som gjør noe slikt har antageligvis veldig lite å tape på det, fordi det er relativt lett å gjøre uten å avsløre sin egen identitet. Og hvor stor er sannsynligheten for at noen oppdager at de kjører en "forfalsket" utgave av OpenSuse?

[nebrewfoz]

Jeg er 99% sikker på at dette "Shared Source"-initiativet til Microsoft bare omfatter visse deler av Windows, f.eks. deler som er akademisk interesse.

 

At absolutt hele Windows er tilgjengelig på denne måten, og man bare kan laste ned kildekoden og kompilere hele Windows på egenhånd klart til installasjon - neppe!

 

Og hvis det var tilfelle så hadde nok komplett kildekode til winxp, vista osv. ligget ute på TPB for lengst

 

Så det overrasker meg ikke at NSA stoler mer på GNU/Linux enn Windows.

Det hadde jo vært greit om du kunne ha argumentert utfra fakta, da, og ikke utfra hva du selv tror.

Microsoft selv sier dette:

Products Include:

* Both x86 and IA64 builds for Windows.

* Service packs and other releases.

* The source code does not include any third-party code that Microsoft does not have the rights to distribute.

Jeg har ingen slik lisens så jeg kan ikke bekrefte det.

 

Har du sett noe til disse "visse delene" av Vista på TPB, forresten?

Hvis ikke de er der heller, så faller liksom veggen ut av argumentet ditt.

[Langbein]

Jeg kjenner dessverre heller ikke dette tilbudet godt nok, men sakset fra wikipedia:

 

Microsoft Enterprise Source Licensing Program

 

Microsoft gives enterprise customers viewing access to some parts of some versions of the Microsoft Windows operating systems. The ESLP license agreement is among the most restrictive of the licenses associated with Shared Source programs, allowing no modifications of the code.

 

 

Microsoft Windows Academic Program

 

The Windows Academic Program provides universities worldwide with concepts, Windows kernel source code, and projects useful for integrating core Windows kernel technologies into teaching and research.

 

Høres ut som Microsoft bare tilbyr kildekoden til deler av Windows. Kanskje andre vet mer? Jeg hadde satt pris på å få bekreftet dette, og det har såklart betydning for om ulike regjeringer, etterretningsbyråer osv. har mulighet for å saumfare hele eller bare utvalgte deler av Windows-koden.

Endret 25. februar 2009 av Langbein

[del_diablo]

Jeg antyder ikke at OpenSuse gjør en bevisst feil for å legge inn noe "grums", men at "noen" kan ta en kopi av OpenSuse, "tukle" med den, lage et forfalsket ISO-image og få dette distribuert til et visst antall brukere på en eller annen måte. F.eks. ved å lage en privat "torrent" av det, eller ved å infiltrere en server, eller ...

 

Du kjøper tilfeldigvis ikke Vista på gatehjørne også gjør du? Måtte bare dra inn sammenligninga.

Vis du skaffer inn en distro gjør du det via mirrors eller torrents til distroen fra deres side eller sider som er stolt på(linuxtracker, distrowatch linker fint). Etc.

[Skinney]

Jeg antyder ikke at OpenSuse gjør en bevisst feil for å legge inn noe "grums", men at "noen" kan ta en kopi av OpenSuse, "tukle" med den, lage et forfalsket ISO-image og få dette distribuert til et visst antall brukere på en eller annen måte. F.eks. ved å lage en privat "torrent" av det, eller ved å infiltrere en server, eller ...

 

Du kjøper tilfeldigvis ikke Vista på gatehjørne også gjør du? Måtte bare dra inn sammenligninga.

Vis du skaffer inn en distro gjør du det via mirrors eller torrents til distroen fra deres side eller sider som er stolt på(linuxtracker, distrowatch linker fint). Etc.

 

Dessuten har vi checksums (MD5, SHA) for å validere slike ting...

[Manuel]

En person som gjør noe slikt har antageligvis veldig lite å tape på det, fordi det er relativt lett å gjøre uten å avsløre sin egen identitet. Og hvor stor er sannsynligheten for at noen oppdager at de kjører en "forfalsket" utgave av OpenSuse?

Har du hørt om kryptografiske hashfunksjoner?

 

Nei, det er ikke en triviell oppgave å infisere en CD/DVD-avbilding. Jeg kan laste ned en ISO-fil fra et usikkert nettverk, f.eks vha. en torrent-fil, og likevel ikke gjøre noe annet enn å sammenligne SHA-hashet og størrelsen (fra en pålitelig part - distributør) for å si helt sikkert at jeg sitter med riktig fil.

[efikkan]

Det er i praksis nesten umulig å få til en ISO-fil som tilsynelatende har samme innhold, men som er modifisert og får samme checksum og størrelse.

[jonnor]

Med en kryptografisk sikker hash er det ikke mulig (som feks SHA). MD5 er ikke kryptografisk sikker, men alikevel meget god. Dermed er det i teorien mulig å lage to ulike filer med samme hash. Men i praksis, spesielt med tanke på at de to filene som det skal hashes ut ifra ikke kan ha vilkårlig innhold så er det nesten helt umulig.

Endret 25. februar 2009 av NorthWave

[efikkan]

Med en kryptografisk sikker hash er det ikke mulig (som feks SHA). MD5 er ikke kryptografisk sikker, men alikevel meget god. Dermed er det i teorien mulig å lage to ulike filer med samme hash. Men i praksis, spesielt med tanke på at de to filene som det skal hashes ut ifra ikke kan ha vilkårlig innhold så er det nesten helt umulig.

Som jeg sa, i praksis nesten umulig Bra vi er enige der.

 

På mine egne sikkerhetskopier bruker jeg både MD5 og SHA, pluss jeg lagrer filstørrelsen. En kombinasjon av slike er ingen dum idé.

[Kahuna]

Jeg antyder ikke at OpenSuse gjør en bevisst feil for å legge inn noe "grums", men at "noen" kan ta en kopi av OpenSuse, "tukle" med den, lage et forfalsket ISO-image og få dette distribuert til et visst antall brukere på en eller annen måte. F.eks. ved å lage en privat "torrent" av det, eller ved å infiltrere en server, eller ...

 

Du kjøper tilfeldigvis ikke Vista på gatehjørne også gjør du? Måtte bare dra inn sammenligninga.

Vis du skaffer inn en distro gjør du det via mirrors eller torrents til distroen fra deres side eller sider som er stolt på(linuxtracker, distrowatch linker fint). Etc.

Verden forandrer seg, i det siste har målrettede angrep blitt mer i skuddet. For å dikte opp et eksempel, se for deg følgende: En kriminell gruppe har funnet ut at en finansinstutisjon har lagt sin elsk på distro X, de har samtidig skaffet seg en innsider i gruppen som lager distro X. I god tid før neste versjon av distroen har de gjort klar en alternativ distro som er til forveksling lik den virkelige distroen. Via sin innsider får de ordnet det sånn at folk flest får den vanlige distroen mens instutisjonen som er målet for angrepet får den alternative versjonen. De får også egne websider med en hash tilpasset 'sin' distro, kanskje de også får presentert kildekoden med alle hull liggende åpent så en kompilering av kildekoden ikke vil avsløre noe.

 

Et sånt stunt kan selvføgelig oppdages ved at noe faktisk *leser* kildekoden (ikke sannsynlig med mindre firmaet er veldig stort eller veldig sikkerhetsbevisst) eller at noen laster ned en distro m/hash hjemmefra og sammenlikner med det de har på jobben. Hvis det ikke blir oppdaget kan innsideren i distro X plutselig få råd til en laaang ferie i varmere strøk mens firmaet i værste fall går konkurs.

[jonnor]

Vis gjerne til suksessfulle gjennomføringer av det så begynner vi å snakke.

CIA har forøvrig boobytrappet propritær programvare tidligere, spesielt under den kalde krigen. De sprengte en av Russlands viktigste gassledninger på den måten.

[efikkan]

Det skal nok mer enn en "insider" til for å få til det der. Det er skjelden at én eller veldig få har alene tilgang til serveren som eventuelt skulle gi en egen nettside til en bedrift. Det ser ikke ut som et realistisk scenario, med mindre du har noe håndfast.

[genstian]

Uansett kan man ikke bruke det som agrument for hva som er sikerest av Windows eller Linux da det er tilfellet på begge at det KAN gjøres.

[Spetsnaz]

Det vel helst folk på utsiden Kuba søker å beskytte seg mot. Hvis noen internt skulle tulle med repoene deres så er vi jo tilbake til at hvem som helst kan både sjekke, så det går ikke ann å distribuere kode uten at den står sin prøve.

 

Så kan det videre argumenteres at man kan distribuere kompilert kode, uten kildekode sammen med MD5sum eller SHA1, men da snakker vi ikke lenger om linux, og da bør det _virkelig_ gå opp et lys for hver enkelt bruker.

 

Nå vet jeg ikke hvordan Windows distribueres rundt på Kuba, men de har i hvertfall flere muligheter til å få utløp for sunn skepsis eller paranoid sådan når de nå har gått over til Nova Gnu/linux.