-
Data: 2024-03-29 13:40:05
Temat: Re: o Pegasusie raz jeszcze
Od: Marcin Debowski <a...@I...zoho.com> szukaj wiadomości tego autora
[ pokaż wszystkie nagłówki ]On 2024-03-29, A. Filip <a...@p...pl> wrote:
> Marcin Debowski <a...@I...zoho.com> pisze:
>> On 2024-03-29, A. Filip <a...@p...pl> wrote:
>>> Marcin Debowski <a...@I...zoho.com> pisze:
>>>> On 2024-03-29, A. Filip <a...@p...pl> wrote:
>>>>> Marcin Debowski <a...@I...zoho.com> pisze:
>>>>>> On 2024-03-28, Robert Tomasik <r...@g...pl> wrote:
>>>>>>> W dniu 28.03.2024 o 00:36, Marcin Debowski pisze:
>>>>>>>> Backdoors? Zastanawiałem się nad tym. Zasadniczo nie wykluczam. Z
>>>>>>>> drugiej strony, dla firmy oferującej system wydaje się to być sporym
>>>>>>>> ryzykiem.
>>>>>>>
>>>>>>> Firma może nie wiedzieć.
>>>>>>
>>>>>> No to nie jest to oficjalny backdoor. Ale też nie wiem po prawdzie jak
>>>>>> miałaby nie wiedzieć.
>>>>>
>>>>> Nie zostawiać śladów w dokumentach a prawnicy co najmniej przeciągną
>>>>> sprawę latami rzucając pionki (góra paru oficerów niskiego szczebla)
>>>>> prawu na pożarcie. Szanse skazania wierchuszki która wie jak obijać
>>>>> sobie dupę blachą i gmatwać tropy są "nieduże" IMHO,
>>>>
>>>> Wiem jak z grubsza działają wielkie korpo na poziomie opracowywanych
>>>> technologii. Pod tym względem nie widzę za specjalnie możliwości. To nie
>>>> jest do końca jakby tak, że jakieś NSA przekupi jednego pracownika i on
>>>> coś zrobi i nikt się nie zorientuje.
>>>
>>> Wersja oficjalna będzie że jedna sprytna+ ("nieustalona") czarna owca
>>> wrzuciła "detaliczek" a reszcie udowodnij że się zorientowali. No chyba
>>> że polecimy po odpowiedzialności nie karnej poszczególnych osób ale
>>> cywilnej firmy jako całości, odpowiedzialności kosztownej+ na miarę USA.
>>>
>>> Zresztą AFAIR parę przypadków "nie usunięcia kodu co miał być tylko do
>>> odpluskwiania w produkcji" było, oczywiście wyłącznie przez "przeoczenie".
>>
>> Tam masz pewnie całą machinę złożoną z kilkuset osób, z których część
>> pisze, część szuka podatności. Nadal nie widzę tego. Kilka oddziałów z
>> min. kilkudziesięsioma osobami musiałoby być w to zamiesza. A tyle osób
>> to dużo, więc i jakaś rotacja i ryzyko olbrzymie. Więcej, taka firma
>> musi się liczyć, że sam z siebie jakiś pracownik mógłby chcieć podobną
>> dziurę zaimplementować, więc musi mieć odpowiednie procedury
>> prewencyjne/weryfikacyjne.
>
> Ty zaledwie wyrażasz przekonanie że "nie każdy" backdoor się uchowa,
> nawet sporawo mocniej ale to i tak za mało IMHO. Jak na paręnaście
> "ścieżek eskalacji" jedna/dwie się uchowa to nie wystarczy?
Nie, ja wiem jak bardzo sformalizowane i proceduralne są wszystkie
czynności związane z opracowaniem produktu w wielkim korpo. Próbujesz
dopasować pewien model rzeczywistości do takiej organizacji, a on do
niej nie za bardzo pasuje. Wszelkie próby kombinowania kończą się zwykle
źle, bez względu na to kto kombinuje.
> Zresztą można patrzeć na sprawę inaczej: Popatrz ile jest raportowanych
> CVE i oszacuj ile więcej/wcześniej/łatwiej powykrywa to ktoś kto ma
> dostęp do kodu źródłowego, komentarzy w kodzie i dokumentacji dla
> programistów. Wystarczy się "nie za bardzo spieszyć" z łataniem tego co
> się wykryje i bardzo ograniczać liczbę osób wiedzących na początkowych
> etapach. W tym scenariuszu wystarczy że szefostwo "nie wie" o tym że
> ktoś "całkowicie z własnej inicjatywy" przekazuje na zewnątrz albo że
> ktoś te "ułatwienia" uzyskał. BTW Coś mi się wydaje że NSA.gov ma
> dostawać _oficjalnie_ kod źródłowy wielu rzeczy. [ Swojej głowy nie za
> to nie dam ale wydaje mi się to całkiem prawdopodobne].
>
> Przekonanie że z dziur skorzysta tylko dobre NSA.gov ale nie źli
> rosjanie/chińczycy jest obstawianiem _bilansu_ czyli tego kto
> będzie miał z tego (wyraźnie) więcej. Wiary w to że nie za wiele
> "wrogowie" wyzyskają zanim się zauważy że wykorzystują i załata.
>
> Dla mnie jako użytkownika nie ma fundamentalnej różnicy czy z dziury
> skorzysta NSA.gov(.us) czy indywidualny haker z Polski/Rosji/Chin.
NSA to tylko przykład wynikający z tego, że wymieniny był Apple.
--
Marcin
Następne wpisy z tego wątku
- 29.03.24 13:54 A. Filip
- 29.03.24 15:02 Shrek
- 29.03.24 15:16 A. Filip
- 29.03.24 15:28 Marcin Debowski
- 29.03.24 16:35 _Master_
- 29.03.24 18:06 Shrek
- 30.03.24 00:23 Marcin Debowski
- 30.03.24 07:02 Shrek
- 30.03.24 07:21 Marcin Debowski
- 30.03.24 09:15 Shrek
Najnowsze wątki z tej grupy
- Śledztwo bodnatury "jak wyrok"? ["likwidator" Polskiego Radia donosi]
- prawo jazdy z Nepalu
- Mini Netykieta polskich grup i list dyskusyjnych
- Niemcy: "Alles fuer Deutschland" jest zakazane (dla AfD - nieprawomocna grzywna)
- Ustawy o rejestracji obcych agentów (wpływu): fuj Gruzja/Rosja v. cacy USA
- Prowadzenie działalności za kogoś - to legalne?
- nieletni na plaży naturystów
- Afera II LO w Nowym Sączu wypracowanie
- Chess
- Vitruvian Man - parts 7-11a
- Vitruvian Man - parts 1-6
- Koniec bezkarności?
- chatGPT prawem się zasłania
- sedzia Szmydt
- policja pomaga
Najnowsze wątki
- 2024-05-16 Śledztwo bodnatury "jak wyrok"? ["likwidator" Polskiego Radia donosi]
- 2024-05-16 prawo jazdy z Nepalu
- 2024-05-15 Mini Netykieta polskich grup i list dyskusyjnych
- 2024-05-15 Niemcy: "Alles fuer Deutschland" jest zakazane (dla AfD - nieprawomocna grzywna)
- 2024-05-14 Ustawy o rejestracji obcych agentów (wpływu): fuj Gruzja/Rosja v. cacy USA
- 2024-05-14 Prowadzenie działalności za kogoś - to legalne?
- 2024-05-14 nieletni na plaży naturystów
- 2024-05-12 Afera II LO w Nowym Sączu wypracowanie
- 2024-05-11 Chess
- 2024-05-11 Vitruvian Man - parts 7-11a
- 2024-05-11 Vitruvian Man - parts 1-6
- 2024-05-11 Koniec bezkarności?
- 2024-05-10 chatGPT prawem się zasłania
- 2024-05-09 sedzia Szmydt
- 2024-05-09 policja pomaga