Re: Ашманов захватил власть в этой стране

[<ezh@ezhe.ru>]

> Крайние точки зрения (знаменитые флеймы, какая ОС лучше) никогда не
отражали действительного положения вещей. // Бояндин.

Да, но послужили основанием для создания популярных мифов, которые в итоге в
виде настоящих мозговых вирусов поражают мозги министров и премьеров - не
без помощи злонамеренных советников и советчиков.

> Что значит, "всё чисто"? Уязвимости были, есть и будут, о них регулярно
сообщаются на соответствующих ресурсах - некоторые обнаруживаются много лет
спустя их фактического появления. Чисто или нет, решать пользователю. //
Бояндин.

Если дело касается так называемой критической инфраструктуры и обороны - не
пользователю.

> У открытого кода есть два преимущества перед проприетарным (закрытым):
- когда ОС или её компоненты в открытом коде, их значительно проще
анализировать, в т.ч. на возможные уязвимости  // Бояндин.

Мы имеем несколько компаний, занимающихся инфобезопасностью, жена моя в этой
сфере - с 1994 года.
Так вот, сюрприз, профессионалы знают, что это давно уже не преимущество, а
кардинальный недостаток. 
Уже 12-15 лет открытость кода означает гораздо более быстрое появление
уязвимостей - так как код "значительно проще анализировать" в первую очередь
злодеям.

> - поскольку все без исключения мало-мальски популярные программные
продукты с открытым кодом используют контроль версий, можно понять, кем и
когда была внесена конкретная правка  // Бояндин.

Это не помогает или помогает редко. Этот "кто" может быть основателем
проекта, например. Или прикомандированным сотрудником. И никто не будет
проверять его код. Да и проверить обычно очень трудно.

Напомню известную историю с Линуксом, лет 15 тому, когда кто-то внёс в код
серверного Линукса небольшую правку, и людям из основной группы, настоящим
"авторам" Линукса, показалось, что что-то не так с правами доступа. 
Коммитер чуть-чуть их превысил. В этом была его ошибка.
Они ДВА ДНЯ читали свой же код, модифицированный этим коммитером, буквально
ДВЕ СТРОЧКИ. И наконец с трудом поняли, что это очень хитрая, невидимая
закладка, позволяющая перехватить управление сервером при комбинации
некоторых внешних условий.
И это авторы читали СВОЙ код.

Это означает, что те, кто у нас "проверяет исходники" и "сертифицирует"
Венду с её 100+ миллионами строк кода или Линукс с его 40 миллионами строк -
делают просто формальную работу для галочки. Галочка, естественно,
зарабатывает на этом миллиарды рублей.
Но найти закладки такого рода в ЧУЖОМ коде - практически нереально.
Особенно, если вносили доверенные лица, основатели, "люди ядра" и т.п.
При этом закладка вообще может быть бинарной - с ответной частью в
процессоре, эту вообще не найдёшь.

Известная история про нерандомный рандомный счётчик, на который вы дали
ссылку - тоже показательна. Там неспроста много разговоров о том, что "это
точно была не закладка, потому что её автор же такой уважаемый, его потом
даже повысили", почитайте.

> Это касается и проприетарного софта ровно в той же мере - но проприетарный
софт намного сложнее эффективно анализировать на возможные вредоносные
вставки, оттого и может возникать иллюзия, что-де с кодом от крупных
корпораций (который вы никогда не увидите воочию) всё намного лучше. 

Нет с проприетарным лучше не поэтому, а потому что внедрение закладок и
троянов в чужой закрытый код труднее для внешних хакеров. 
Если же внедряет основной разработчик, да ещё по приказу спецслужб - то это
более или менее без разницы, что в открытом, что в закрытом хрен найдёшь.

Ну и надо помнить, что весь открытый код сейчас разрабатывается не
легендарным и мифологическим "мировым сообществом", а в основном людьми в
штате американских суперкорпораций, скажем, РедХат - в ИБМ и т.п.

Поэтому иерархия там на самом деле такова:

- хуже всего американский процессор,
- кардинально плох американский BIOS / UEFI,
- очень плох закрытый код от американской корпорации,
- ненамного лучше открытый код от американской корпорации,
- немного лучше СВОЙ "стерилизованный" форк открытого кода, который больше
НЕ скачивает апдейты,
- лучше всего СВОЙ закрытый код.

Платность здесь вообще не при чём. Речь не о деньгах, а о безопасности. 
Мы воюющая страна, так что код врага - зло в любом случае, открытый он или
закрытый.

Приведу другой, более понятный пример-аналогию: любой современный автомобиль
известной марки и дорогого класса сейчас имеет в себе полсотни ОС, навсегда
встроенный и оплаченный доступ в Интернет, удалённое управление, отправляет
производителю данные об износе, стиле вождения, географии маршрутов. Может
быть выключен удалённо в любой момент.

Это может делать производитель, хакер, перехвативший протокол - ну и
спецслужбы США и ЕС, естественно:
https://www.iguides.ru/main/other/v_evrope_razrabatyvayut_sistemu_udalennogo
_vyklyucheniya_dvigateley_avtomobiley/

Ну и вот, мы, по сути, находимся в стадии холодной войны с США и ЕС, а
надвигается и горячая война. 
Это значит, что как бы ни было удобно заднице в Вольво, БМВ, Ауди и Мерсе,
Шевроле, Джипе, Рэндж Ровере и Кадиллаке, Тойоте. Инфинити и Мицубиси, всем
чиновникам, депутатам, генералам, мэрам, кто является "критической
инфраструктурой" государства, надо пересаживаться на УАЗы, Соболи, Тигры,
БМП, КамАЗы, ну или на Аурусы на крайняк. И не летать на Боингах.

Можно пытаться "стерилизовать" БМВ и Мерсы, но значительно лучше - СВОЁ.
Потому что речь о безопасности, а не об удобстве возить задницу.

Игорь Ашманов. 

Оценить письмо Reputatio: http://ezhe.ru/reputatio/f2c2d999d0