kouzdra: Технопаранойиечки псто:

tzirechnoy.livejournal.com
2012-07-04 09:55 (ссылка)

В точности аналогичный -- на том, что куча народу ковыряется отладчиками в результатах. Включая gdb, strace, nm и другими средствами аудита. В своих цэлях, конечно, ковыряется -- там, оптимизируют чего-нибудь или просто глюки ищут -- однако ковыряется. И если тэстовый пример из пяти строк будет делать какую-то фигню (неважно, в dlopen() или в _start, или где-то ещё, но просто содержать нереально большые промежутки между своими символами) -- то его таки поймают.

(Ответить)

ifp5
2012-07-04 12:49 (ссылка)

Полагаю, что некоторая степень уверенности возникает от:
1) эффекта "Неуловимого Джо" - кому нафиг нужны эти линуксы c 1% доли на рынке
2) кол-ва дистрибутивов
3) иной модели (моделей) распространения
4) деятельность linux-разработчиков в достаточной степени "на виду"
5) многое другое :)

(Ответить) (Ветвь дискуссии)

kouzdra
2012-07-04 13:01 (ссылка)

1) на серверном рынке, рынке устройств etc его доля очень даже велика - а это как очень интересные с точки зрения бэкдоров вещи
2) так хак тем и хорош, что за пару неделек расползется во все рабочие ветки дистрибутивов - как часто там они gcc апдейтят
3) ???
4) ну так тут и надо чтобы один человек сумел быстренько вставить это куда-нибудь в укромное место, а потом спрятать.

(Ответить) (Уровень выше) (Ветвь дискуссии)

ifp5
2012-07-04 19:36 (ссылка)

1) Мне интересность рынка серверов и устройств сомнительна. Типичный линуксовый сервер стоит в кластере в датацентре за N файрволами и M проксями. Проэксплуатировать уязвимости будет во всех смыслах непросто.
2) Раз в две недели не апдейтит никто. Насколько часто - зависит от консервативности дистрибутива. FreeBSD (не линукс, но близко), до сих пор использует gcc 4.2 :) И по хорошему (не знаю, правда, насколько повсеместно этой практики придерживаются), апдейт gcc должен включать в себя review изменений. Надеяться что вставка/маскировка троянов не будет никем обнаружена -- это фантастика.
3) Не очень удачно выразился, в отличии от времен Томпсона-Ричи дистрибутив линукса состоит из кучи проектов, и набор версий (и практики их обновления) радикально отличается от дистрибутива к дистрибутиву. Вот, например, вопрос - куда прятать вирус Томпсона, в gcc или в binutils? И что делать с дистрибутивами линукса, где не используется ни то ни другое.
4) Глобально никак, хотя в рамках отдельного дистрибутива можно.

(Ответить) (Уровень выше) (Ветвь дискуссии)

(Анонимно)
2012-07-05 18:56 (ссылка)

2) FreeBSD включает gcc 4.2 по лицензионным соображениям: это последняя GPLv2 версия. А в CURRENT и вовсе на clang переходят (или уже перешли, я не слишком пристально слежу).
3) Доля дистрибутивов, где не используется gcc и binutils пренебрежимо мала. Я вообще таких не знаю. binutils'ам, вроде как, вообще альтернативы нет.

(Ответить) (Уровень выше)

tzirechnoy.livejournal.com
2012-07-04 13:21 (ссылка)

А, ещё скрытие хака, учитывая обычный бардак на всех уровнях (компиляторов, позволяющих собрать ядро у нас примерно три штуки и подтягивается четвёртый, у самого популярного из них более-менее жывые версии отличаются просто адски, средств дизассэмблирования и трассировки тожэ более одного) -- занятие очень неблагодарное.

(Ответить)

qulinxao
2012-07-05 00:54 (ссылка)

Ниначём.

однако есть дисер Вилера? который вроде показал как получить чистую систему (сам дисер не курил и насколько оно реальнЕ хз)

имхо задача доказательства отсутствия бэкдора в системе сырцы+тулченй - эквивалентра проблеме остановки.

ибо ведь можно измыслит ситуации когда бэкдор формируется не потому что в бинаре есть специальный патерн-мэтчинг и иньекция гадости , а например такое расположение даных и такая муссорная инициализация на стеке что при специфических аргументах комплекс функций сконструирует в результате непонятно что

это всё настолько не устойчиво однако вполне жизнеспособно ( как тот эксперемент когда чел селекцией искал разводку платы и полученое решение зависило от температуры комнаты )

мы просто доверяем . то же железо настолько плод предыдущих поколений железок и сапр работающих на них , что там очевидно куча мест ( ибо современных кристалы очевидно избыточны по схемотехнике - для сравнения можно взять теже форт-кристалы (с тысячами независимыми потоками испольнения) Чарлза Мура ( которые как раз таки можно глазками полностью охватить) ) - куда втравить можно что угодно.

ну и уж если совсем конспироложить:

Тьюрингова лекция Томпсона состоялась несколько ранше Столмановской инициативы ГНУ - :)

(Ответить)