Új hozzászólás Aktív témák

• #368 #82729984 törölt tag hcl #364

  Új Válasz 2017-02-16 19:18:44 #368

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  #82729984

  törölt tag

  válasz hcl #364 üzenetére

  "Hm, akkor a fejlesztők, kernel hackerek, vállalati securitysek, az semmi."

  Igen az semmi. Csak a linux kernel tartalmaz körülbelül 16 millió sornyi kódot. És egy linux nem csak a kernelből áll, sőt, a feltelepített rendszered csak kis része a kernel.
  Egy openssl ami a biztonságért felel, pl. fél millió kódsort tartalmaz. szintén csak egy apró része a rendszernek.

  Tehát visszakérdezek: szerinted van a linuxnak 1 millió rendszeres/napi szintü fejlesztője? Csak mert az iparági átlag ~1 hiba / 100 sor kód...

  És még mindig ott van a makacs tény, amit nem programozó ember sosem fog megérteni: egy kódban sosem lehet szemmel verve hibát találni. Főleg nem security hibákat, mert egy puffer túlcsordulást te sosem fogsz észrevenni szemmel csak úgy ránézve a kódra.

  "Másrészt, a javítások beküldői azért nem olyan hülyék, hogy ilyen nyíltan próbáljanak valamit elterjeszteni."

  Olvasd el még egyszer amit irtam. Úgy lehet belerakni hogy nem fogod észrevenni, de még a kód karbantartója sem.
  Ominózus openssl issue (néhány éve történt), valaki észrevette hogy van egy változó ami random memória adattal van inicializálva és aztán felhasználva. Az álmoskönyv szerint ez nem jó jel, hát kijavitotta és átment minden review-n hisz ez nyilvánvaló hiba. Csakhogy ez nem hiba volt hanem szándékos, mert köze volt a kulcsgeneráláshoz és a véletlen számokhoz és a javítással töredékére csökkent a kulcstér (nyilván aki eredetileg irta a kódot az is egy f.sz volt, de ez más kérdés).
  Évekig benne volt a "javitás", mikor kipattant és kiderült hogy mi is történt valójában. Na ekkor kellet a fél világnak lecserélni a tanúsítványokat mert a javitás azt okozta, hogy aki erre rájött az akármilyen certet tudott kompromittálni...

  Természetesen én nem azt mondom hogy ez (és sok más hasonló is van még) szándékosan és rosszindulatúan került bele. Csak annyit hogy ily módon simán lehet opensource termékbe kiskaput, backdoort csempészni anélkül hogy bárkinél megszólalna a csengő.

  Egy másik híres (hírhedt) ominózus hiba, a heartbleed pl. 2 teljesen éven volt benne a rendszerbe mire kiderült és javitották. Ami megint csak arra bizonyíték hogy hiába lesi szerinted sok ember a forráskódot, nem lehet szemmel verve hibát észrevenni.

Új hozzászólás Aktív témák