Компьютерра PDA N89 (15.01.2011-21.01.2011) - [18]

Как бы там ни было, система контроля над модификациями кода, реализованная при разработке OpenBSD, позволяет аудиторам проконтролировать, какие из разработчиков участвовали в написании каких именно сегментов кода. Согласно де Раадту, Джейсон Райт был главным образом вовлечён в программирование драйверов и не имел никакого отношения к созданию криптографической подсистемы OCF. При этом он явно работал над некоторыми частями стека IPSec. В своём ответном письме Джейсон Райт категорически отверг обвинения, будто он встраивал бэкдоры в код OpenBSD. Однако де Раадт тут же подверг Райта критике за то, что он в своей реакции так и не прояснил суть работы, которой занимался в NetSec.

Основной фокус расследования аудиторов, насколько можно понять, тем временем сместился с Райта на вклад Ангелоса Керомитиса, который, согласно де Раадту, был архитектором и главным разработчиком стека IPSec в OpenBSD. Правда, есть информация, что Керомитис официально начал работать на NetSec несколько позже. Но при этом, как отмечает де Раадт, именно тогда в кодах OpenBSD появилась концепция небезопасных векторов инициализации, которую, впрочем, затем удалили на последующей стадии разработки.

По свидетельству де Раадта, те несколько багов, что уже выявил нынешний аудит, могли бы иметь последствия в ослаблении безопасности. Однако, по личному мнению лидера проекта, природа этих багов предполагает, что они не были преднамеренными и тем более не обеспечивают тайный ход в криптографию операционной системы. Но можно отметить, что один из этих багов, относящийся к известной специалистам "проблеме CBC-оракула" (предсказуемые векторы инициализации, кратко IV), в IPSEC-стеке уже был выявлен прежде и в свое время залатан Ангелосом Керомитисом. Однако в драйверах устройств, за разработку которых отвечал Джейсон Райт, этот же баг остался проигнорированным. Другая из выявленных ныне дыр также связана с инструкцией в аппаратном драйвере. Кроме того, де Раадт мимоходом упомянул ещё об одной проблеме в подсистеме генерации случайных чисел, однако в подробности на этот счёт пока вдаваться не стал.

Наиболее же серьёзным откровением для всех интересующихся, как считается, стала "новость" о давнем обнаружении условного нехорошего выражения в более старых версиях кода модуля ESP (Encapsulating Security Payload). Эта серьёзная дыра была по-тихому заделана разработчиками ещё в 2002 году, но, что примечательно, без обычного процесса публичного раскрытия уязвимости. Этот баг как таковой не присутствует в современных версиях OpenBSD, однако он оставался неизвестным для пользователей из-за отсутствия публичных рекомендаций по укреплению безопасности.

В своих оценках и выводах по итогам первичного аудита кода и его находкам де Раадт описывает баг CBC IV как "весьма серьёзное происшествие". Он, однако, не склонен считать, будто выявленные к настоящему времени дыры в защите были внесены в код преднамеренно или с целью внедрения бэкдора. В целом же нынешняя позиция Тео де Раадта по данному вопросу сформулирована им следующим образом:

"NETSEC, как компания, была вовлечена в этот специфический "околостоличный" бизнес со взятием подрядов на работы по обеспечению безопасности и анти-безопасности для отдельных ведомств правительства. Я допускаю, что NETSEC действительно привлекали к написанию бэкдоров, как и утверждается. Но даже если они и были написаны, я не верю, что им удалось пробраться в наше дерево. Вполне возможно, что бэкдоры были созданы, но только как собственный продукт NETSEC. Если такие проекты и существовали в NETSEC, мне неизвестно, участвовали ли в них лично или хотя бы знали ли о них Джейсон (Райт), Ангелос (Керомитис) или кто-либо ещё [из тех разработчиков NETSEC, кто занимался созданием OpenBSD]."

Хотя выводы де Раадта, по идее, должны успокоить пользователей ОС OpenBSD и связанных с ней проектов, это, однако, совсем не означает, что всё в данной истории прояснилось. Здесь по-прежнему остается довольно много нестыковок и мутных моментов. Да и вообще можно ли выявить изощрённо внедрённый бэкдор всего за несколько дней проверки кода в столь серьёзной системе - это сам по себе очень большой вопрос.

Примерно об этом же говорит и ещё одно письмо с комментариями от экс-директора NETSEC Грегори Перри, которое он написал для известного сайта "утечек и компромата" Cryptome.org:

Если бы мне довелось проделать всё это снова, то я, наверное, послал бы анонимную открытку на сайт Wikileaks.

Лично для меня нет абсолютно никакой выгоды от той информации, которую я сообщил Тео. Я сделал это исключительно для того, чтобы подтолкнуть его к перепроверке кода OpenBSD, поскольку для моих обязательств перед ФБР о сохранении молчания истёк срок давности. Находиться же в центре всеобщего внимания, как ныне, - совершенно не мое занятие.

Я лично нанимал на работу и руководил Джейсоном Райтом, а также несколькими другими разработчиками, принимавшими участие в проекте OpenBSD. Я близко знаком с ОС OpenBSD и за прошедшие годы применял её в целом ряде различных коммерческих продуктов. И это я устраивал первоначальное финансирование для создания криптографического аппаратного обеспечения, ускоряющего работу OCF и гигабитных Ethernet-драйверов, покрывая издержки на оборудование и разработку OpenBSD деньгами из бюджета NETSEC (а также из моих собственных личных пожертвований).