Re: [FUG-BR] Código fonte infectado no FreeBSD
Juano Brozz escreveu: Em 19 de maio de 2012 18:28, Otacílio otacilio.n...@bsd.com.br escreveu: On 19/05/2012 11:07, Juano Brozz wrote: Pessoal, gostaria de entender a possibilidade de algum software instalado pelos fontes do ports do FreeBSD ter código malicioso. Provavelmente o pessoal que mantém o FreeBSD não faz review de todo o código fonte que colocam no ports. Se for assim, alguém com acesso ao fonte do wget por exemplo, ou de programinhas instalados junto ao gnome, ou de qualquer programa do ports, talvez um hacker que invadiu a máquina do desenvolvedor do código fonte, poderia colocar código malicioso diretamente no fonte de um programa do ports. Quando o FreeBSD lançasse uma nova versão, todos os sistemas atualizados no mundo todo estariam sob controle do hacker que colocou o código malicioso. Isso não me parece muito difícil de ocorrer. Poderiam me esclarecer sobre essa possibilidade? Abs, Juano Quando um pacote é adicionado no ports ele também contém o hash. Se alguém invadir o desenvolvedor do pacote quando ele for baixado pelo ports o mesmo vai se recusar a instalar por causa da mudança do hash. Para o software contaminar o BSD o mantenedor do port deveria calcular o hash já com o port com código malicioso. - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd Otacilio, se entendi bem, isso funciona, mas apenas com um ataque após o desenvolvedor do pacote ter finalizado o desenvolvimento e liberado o pacote. Mas imagine que durante o desenvolvimento da nova versão do pacote, um trojan ou um invasor adicione código malicioso em alguma classe do fonte do software. Dificilmente o desenvolvedor dono do pacote saberá, e acabará liberando o pacote com a brecha, o hash será criado com a brecha, pois o desenvolvedor não suspeita de nada. Se o hacker colocou a ativação da brecha numa data futura específica, os responsáveis pelo FreeBSD dificilmente pegarão ela nos testes, pois durante os testes nada de anormal acontecerá. Além disso, não deve ser muito difícil de um hacker com más intenções, com pleno conhecimento de FreeBSD, ganhe a confiança do time de desenvolvimento do FreeBSD e torne-se parte do time. Alguém conhece o procedimento para fazer parte do time de desenvolvimento? Alguém aqui faz parte? Juano, Tem outro detalhe... se esse trojan alterasse algo no código fonte do port, quando o mesmo fosse enviado para o controle de versão, vários desenvolvedores no mundo todo perceberiam a mudança (um diff no SVN por exemplo). -- Welkson Renny de Medeiros Desenvolvimento / Gerência de Redes Focus Automação Comercial FreeBSD Community Member - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] Código fonte infectado no FreeBSD
2012/5/21 Welkson Renny de Medeiros welk...@focusautomacao.com.br Juano Brozz escreveu: Em 19 de maio de 2012 18:28, Otacílio otacilio.n...@bsd.com.br escreveu: On 19/05/2012 11:07, Juano Brozz wrote: Pessoal, gostaria de entender a possibilidade de algum software instalado pelos fontes do ports do FreeBSD ter código malicioso. Provavelmente o pessoal que mantém o FreeBSD não faz review de todo o código fonte que colocam no ports. Se for assim, alguém com acesso ao fonte do wget por exemplo, ou de programinhas instalados junto ao gnome, ou de qualquer programa do ports, talvez um hacker que invadiu a máquina do desenvolvedor do código fonte, poderia colocar código malicioso diretamente no fonte de um programa do ports. Quando o FreeBSD lançasse uma nova versão, todos os sistemas atualizados no mundo todo estariam sob controle do hacker que colocou o código malicioso. Isso não me parece muito difícil de ocorrer. Poderiam me esclarecer sobre essa possibilidade? Abs, Juano Quando um pacote é adicionado no ports ele também contém o hash. Se alguém invadir o desenvolvedor do pacote quando ele for baixado pelo ports o mesmo vai se recusar a instalar por causa da mudança do hash. Para o software contaminar o BSD o mantenedor do port deveria calcular o hash já com o port com código malicioso. - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd Otacilio, se entendi bem, isso funciona, mas apenas com um ataque após o desenvolvedor do pacote ter finalizado o desenvolvimento e liberado o pacote. Mas imagine que durante o desenvolvimento da nova versão do pacote, um trojan ou um invasor adicione código malicioso em alguma classe do fonte do software. Dificilmente o desenvolvedor dono do pacote saberá, e acabará liberando o pacote com a brecha, o hash será criado com a brecha, pois o desenvolvedor não suspeita de nada. Se o hacker colocou a ativação da brecha numa data futura específica, os responsáveis pelo FreeBSD dificilmente pegarão ela nos testes, pois durante os testes nada de anormal acontecerá. Além disso, não deve ser muito difícil de um hacker com más intenções, com pleno conhecimento de FreeBSD, ganhe a confiança do time de desenvolvimento do FreeBSD e torne-se parte do time. Alguém conhece o procedimento para fazer parte do time de desenvolvimento? Alguém aqui faz parte? Juano, Tem outro detalhe... se esse trojan alterasse algo no código fonte do port, quando o mesmo fosse enviado para o controle de versão, vários desenvolvedores no mundo todo perceberiam a mudança (um diff no SVN por exemplo). http://www.freshports.org/security/portaudit/ http://www.vuxml.org/freebsd/ -- Welkson Renny de Medeiros Desenvolvimento / Gerência de Redes Focus Automação Comercial FreeBSD Community Member - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd -- Change is the essential process of all existence. -- Spock, Let That Be Your Last Battlefield, stardate 5730.2 - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] Código fonte infectado no FreeBSD
Em 19 de maio de 2012 18:28, Otacílio otacilio.n...@bsd.com.br escreveu: On 19/05/2012 11:07, Juano Brozz wrote: Pessoal, gostaria de entender a possibilidade de algum software instalado pelos fontes do ports do FreeBSD ter código malicioso. Provavelmente o pessoal que mantém o FreeBSD não faz review de todo o código fonte que colocam no ports. Se for assim, alguém com acesso ao fonte do wget por exemplo, ou de programinhas instalados junto ao gnome, ou de qualquer programa do ports, talvez um hacker que invadiu a máquina do desenvolvedor do código fonte, poderia colocar código malicioso diretamente no fonte de um programa do ports. Quando o FreeBSD lançasse uma nova versão, todos os sistemas atualizados no mundo todo estariam sob controle do hacker que colocou o código malicioso. Isso não me parece muito difícil de ocorrer. Poderiam me esclarecer sobre essa possibilidade? Abs, Juano Quando um pacote é adicionado no ports ele também contém o hash. Se alguém invadir o desenvolvedor do pacote quando ele for baixado pelo ports o mesmo vai se recusar a instalar por causa da mudança do hash. Para o software contaminar o BSD o mantenedor do port deveria calcular o hash já com o port com código malicioso. - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd Otacilio, se entendi bem, isso funciona, mas apenas com um ataque após o desenvolvedor do pacote ter finalizado o desenvolvimento e liberado o pacote. Mas imagine que durante o desenvolvimento da nova versão do pacote, um trojan ou um invasor adicione código malicioso em alguma classe do fonte do software. Dificilmente o desenvolvedor dono do pacote saberá, e acabará liberando o pacote com a brecha, o hash será criado com a brecha, pois o desenvolvedor não suspeita de nada. Se o hacker colocou a ativação da brecha numa data futura específica, os responsáveis pelo FreeBSD dificilmente pegarão ela nos testes, pois durante os testes nada de anormal acontecerá. Além disso, não deve ser muito difícil de um hacker com más intenções, com pleno conhecimento de FreeBSD, ganhe a confiança do time de desenvolvimento do FreeBSD e torne-se parte do time. Alguém conhece o procedimento para fazer parte do time de desenvolvimento? Alguém aqui faz parte? - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] Código fonte infectado no FreeBSD
Não só a equipe do FreeBSD, todos aqueles que utilizarem o dito código-fonte estarão na mesma situação, incluindo Linux, NetBSD e até mesmo o OpenBSD. Pois este será baixado direto do site do desenvolvedor por todos estes. Quem analisar o código e encontrar o problema (e muitos o fazem) notificará ao dono do código sobre o ocorrido, ele vai gerar outra versão, já corrigida, e todos vão atualizar. No caso de software proprietário é que fica complicado, não tem fonte para analisar. -- Atenciosamente, Antônio Pessoa - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] Código fonte infectado no FreeBSD
Antônio, você tem razão. Não tenho por objetivo induzir ao desuso do FreeBSD, pelo contrário, dada essa situação, ele é o mais recomendável frente a qualquer outro sistema. O objetivo é que com os comentários de todos os colegas eu possa estar mais ciente da situação/riscos, e mediante essa ciência tomar mais ou menos cuidado. Se você mora num condomínio fechado extremamente protegido talvez não faça muito sentido colocar alarme na sua casa. Gostaria de entender como funciona o processo de revisão, teste e aprovação de novas versões dos pacotes no lançamento de novas versões do FreeBSD. Ouvi dizer que o do Debian é bem elaborado. Alguém sabe sobre esse processo no FreeBSD? Em 20 de maio de 2012 19:01, Antônio Pessoa atnpes...@gmail.com escreveu: Não só a equipe do FreeBSD, todos aqueles que utilizarem o dito código-fonte estarão na mesma situação, incluindo Linux, NetBSD e até mesmo o OpenBSD. Pois este será baixado direto do site do desenvolvedor por todos estes. Quem analisar o código e encontrar o problema (e muitos o fazem) notificará ao dono do código sobre o ocorrido, ele vai gerar outra versão, já corrigida, e todos vão atualizar. No caso de software proprietário é que fica complicado, não tem fonte para analisar. -- Atenciosamente, Antônio Pessoa - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] Código fonte infectado no FreeBSD
Em 20 de maio de 2012 22:20, Juano Brozz juanobr...@gmail.com escreveu: Antônio, você tem razão. Não tenho por objetivo induzir ao desuso do FreeBSD, pelo contrário, dada essa situação, ele é o mais recomendável frente a qualquer outro sistema. O objetivo é que com os comentários de todos os colegas eu possa estar mais ciente da situação/riscos, e mediante essa ciência tomar mais ou menos cuidado. Se você mora num condomínio fechado extremamente protegido talvez não faça muito sentido colocar alarme na sua casa. Gostaria de entender como funciona o processo de revisão, teste e aprovação de novas versões dos pacotes no lançamento de novas versões do FreeBSD. Ouvi dizer que o do Debian é bem elaborado. Alguém sabe sobre esse processo no FreeBSD? Em 20 de maio de 2012 19:01, Antônio Pessoa atnpes...@gmail.com escreveu: Não só a equipe do FreeBSD, todos aqueles que utilizarem o dito código-fonte estarão na mesma situação, incluindo Linux, NetBSD e até mesmo o OpenBSD. Pois este será baixado direto do site do desenvolvedor por todos estes. Quem analisar o código e encontrar o problema (e muitos o fazem) notificará ao dono do código sobre o ocorrido, ele vai gerar outra versão, já corrigida, e todos vão atualizar. No caso de software proprietário é que fica complicado, não tem fonte para analisar. De fato, todos os sistemas possui como elo fraco da correte o desenvolvedor, Quanto ao FreeBSD, muito dos fatores apontados aqui encontra-se abordados por [1] Porem temos inumeras outras aplicacoes, cujo por si so ampliam consideravelmente o recurso humano no desenvolvimento. Considerando daemons comuns como apache, postgresql ja tornaria a lista extensa. Isso considerando que apenas pessoas de bem, contudo uma abordagem mais ampla faz se necessario, principalmente em tratar-mos de outros fatores, recuperar uma mancha causa por seguranca e de fato dificil, ainda mais em se tratando em modo economico. Digos que um dos fornecedores de software colabore com fontes, sendo esses destinados a disponibilizar um recurso de extremo interesse a comunidade open source, porem junto disponibilize brechas para serem usados no futuro, em campanhas de marketing direcionados a seguranca. A unica forma de contornar esse problema eh sermos analistas de nivel 6 ou superior[2]. Ou partir claramente de presuposto que o sistema esta infectado, e usar software proprietario, contudo exigindo do fornecedor garantias explicitas com relacao a seguranca seja o unico modo viavel a nos meros mortais. [1] - http://www.freebsd.org/doc/en_US.ISO8859-1/books/developers-handbook/index.html [2] - http://pqparar.blogspot.com.br/2009/05/os-8-niveis-de-analista.html -- :=)(=: Disseram-me que confiar em humanos foi o unico erro que alguem que nao existe cometeu. Flamers /dev/null !!! - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] Código fonte infectado no FreeBSD
Então caro amigo , tudo é possivel ,mais não sei como funciona o procedimento de update da distro , mais pode ter certeza que deve ter alguma segurança em relaçao a isso , principalmente ao codigo. Para voce ter ideia , tempos atras parece que invadiram o kernel.org ,então creio que tudo é possivel , apesar que entendo que em sistemas bsds isso não ocorra com frequencia - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] Código fonte infectado no FreeBSD
Em 19 de maio de 2012 11:07, Juano Brozz juanobr...@gmail.com escreveu: Pessoal, gostaria de entender a possibilidade de algum software instalado pelos fontes do ports do FreeBSD ter código malicioso. Provavelmente o pessoal que mantém o FreeBSD não faz review de todo o código fonte que colocam no ports. Se for assim, alguém com acesso ao fonte do wget por exemplo, ou de programinhas instalados junto ao gnome, ou de qualquer programa do ports, talvez um hacker que invadiu a máquina do desenvolvedor do código fonte, poderia colocar código malicioso diretamente no fonte de um programa do ports. Quando o FreeBSD lançasse uma nova versão, todos os sistemas atualizados no mundo todo estariam sob controle do hacker que colocou o código malicioso. Isso não me parece muito difícil de ocorrer. Poderiam me esclarecer sobre essa possibilidade? Os ports são colocados na estrutura por pessoas selecionadas (como o Botelho), as fontes são trazidas de endereços mantidos pelo próprio desenvolvedor, o sistema em si é mantido por pessoas selecionadas também, não seria nada fácil contaminar esse ambiente. Possibilidade sempre existe, mas na minha opinião é mínima, e não tardaria a ser descoberta, ainda mais considerando que outros sistemas buscam binários em fontes completamente aleatórias, não há nenhuma forma de atualização mais segura que a nossa. []'s - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] Código fonte infectado no FreeBSD
sistemas bsds pelo menos na minha opnião sao os mais seguros do mundo, vide ex : openbsd - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] Código fonte infectado no FreeBSD
Ola. A possibilidade existe mas eh muito remota. Eu creio que o core team sempre verifica os pacotes, testa e etc... antes de colocar para o publico. E isso ja aconteceu ate onde sei com o kernel do Linux (tentaram instalar um codigo malicioso na arvore do kernel, mas foi detectado e removido), distros ja tiveram mirrors invadidos e etc... Voce pode atualizar via ports e/ou baixar o pacote e instalar voce mesmo. Dependendo de onde voce trabalha, com o que voce lida de informacao e etc... se tiver alguma PSI, Norma, Procedimento e etc... talvez code review do pacotes sejam necessarios (por isso o SL se da muito bem em relacao ao SW proprietario, voce tem acesso ao codigo e voce mesmo pode verificar tudo antes de sair compilando). Se voce nao confia realmente, pode baixar o pacote, verificar tanto o md5 (md5 possui falhas mas ainda eh considerado um metodo 'seguro' para verificar a integridade dos pacotes, lembrando que o md5 eh one way e ele gera hash, eh um algoritmo de codificacao e nao de criptografia) quanto o sha do pacote, se nao bater com os valores da pagina do desenvolvedor, o pacote pode ter sido trojanado. Casos assim PODEM acontecer mas a comunidade fica alerta quanto a isso. Se um pacote malicioso eh detectado, ele eh removido e um alerta eh disparado para todos (como ja aconteceu com proftd e etc...). Como o amigo Cleiton disse, o OpenBSD hoje eh considerado o sistema mais 'seguro' do mundo. O Theo eh muito paranoico e testa exaustivamente antes de colocar o pacote para download mas tambem ja ocorrem casos com o proj3ct m4yh3m internacional e o GOBBLES. Ate o proprio Theo ja teve seus servidores invadidos e etc... Nada eh realmente seguro 100% mas se a empresa tem a cultura de Seguranca da Informacao, tem tudo documentado e as normas sao seguidas e etc... voce pode diminuir o risco de ataques mas nao dou nenhuma garantia de estar tudo 100% ok. Abracos. Em 19 de maio de 2012 10:07, Juano Brozz juanobr...@gmail.com escreveu: Pessoal, gostaria de entender a possibilidade de algum software instalado pelos fontes do ports do FreeBSD ter código malicioso. Provavelmente o pessoal que mantém o FreeBSD não faz review de todo o código fonte que colocam no ports. Se for assim, alguém com acesso ao fonte do wget por exemplo, ou de programinhas instalados junto ao gnome, ou de qualquer programa do ports, talvez um hacker que invadiu a máquina do desenvolvedor do código fonte, poderia colocar código malicioso diretamente no fonte de um programa do ports. Quando o FreeBSD lançasse uma nova versão, todos os sistemas atualizados no mundo todo estariam sob controle do hacker que colocou o código malicioso. Isso não me parece muito difícil de ocorrer. Poderiam me esclarecer sobre essa possibilidade? Abs, Juano - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd -- Oscar Marques osca...@gmail.com http://www.dunkelheit.com.br @f117usbr https://twitter.com/#%21/f117usbr +55 21 9293-9343 - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] Código fonte infectado no FreeBSD
Lembrando que há medidas como ativar securelevel, ativar flags imutável em arquivos críticos(/sbin/*, etc...), colocar o /tmp readonly, etc, etc - se não evitar - ao menos vai dificultar que uma possível atividade maliciosa tenha grandes estragos, já que vai limitar em muito o que um software(e o próprio operador) consiga fazer no sistema. Abraços! Em 19/05/12 12:34, Oscar Marques escreveu: Ola. A possibilidade existe mas eh muito remota. Eu creio que o core team sempre verifica os pacotes, testa e etc... antes de colocar para o publico. E isso ja aconteceu ate onde sei com o kernel do Linux (tentaram instalar um codigo malicioso na arvore do kernel, mas foi detectado e removido), distros ja tiveram mirrors invadidos e etc... Voce pode atualizar via ports e/ou baixar o pacote e instalar voce mesmo. Dependendo de onde voce trabalha, com o que voce lida de informacao e etc... se tiver alguma PSI, Norma, Procedimento e etc... talvez code review do pacotes sejam necessarios (por isso o SL se da muito bem em relacao ao SW proprietario, voce tem acesso ao codigo e voce mesmo pode verificar tudo antes de sair compilando). Se voce nao confia realmente, pode baixar o pacote, verificar tanto o md5 (md5 possui falhas mas ainda eh considerado um metodo 'seguro' para verificar a integridade dos pacotes, lembrando que o md5 eh one way e ele gera hash, eh um algoritmo de codificacao e nao de criptografia) quanto o sha do pacote, se nao bater com os valores da pagina do desenvolvedor, o pacote pode ter sido trojanado. Casos assim PODEM acontecer mas a comunidade fica alerta quanto a isso. Se um pacote malicioso eh detectado, ele eh removido e um alerta eh disparado para todos (como ja aconteceu com proftd e etc...). Como o amigo Cleiton disse, o OpenBSD hoje eh considerado o sistema mais 'seguro' do mundo. O Theo eh muito paranoico e testa exaustivamente antes de colocar o pacote para download mas tambem ja ocorrem casos com o proj3ct m4yh3m internacional e o GOBBLES. Ate o proprio Theo ja teve seus servidores invadidos e etc... Nada eh realmente seguro 100% mas se a empresa tem a cultura de Seguranca da Informacao, tem tudo documentado e as normas sao seguidas e etc... voce pode diminuir o risco de ataques mas nao dou nenhuma garantia de estar tudo 100% ok. Abracos. - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
Re: [FUG-BR] Código fonte infectado no FreeBSD
On 19/05/2012 11:07, Juano Brozz wrote: Pessoal, gostaria de entender a possibilidade de algum software instalado pelos fontes do ports do FreeBSD ter código malicioso. Provavelmente o pessoal que mantém o FreeBSD não faz review de todo o código fonte que colocam no ports. Se for assim, alguém com acesso ao fonte do wget por exemplo, ou de programinhas instalados junto ao gnome, ou de qualquer programa do ports, talvez um hacker que invadiu a máquina do desenvolvedor do código fonte, poderia colocar código malicioso diretamente no fonte de um programa do ports. Quando o FreeBSD lançasse uma nova versão, todos os sistemas atualizados no mundo todo estariam sob controle do hacker que colocou o código malicioso. Isso não me parece muito difícil de ocorrer. Poderiam me esclarecer sobre essa possibilidade? Abs, Juano Quando um pacote é adicionado no ports ele também contém o hash. Se alguém invadir o desenvolvedor do pacote quando ele for baixado pelo ports o mesmo vai se recusar a instalar por causa da mudança do hash. Para o software contaminar o BSD o mantenedor do port deveria calcular o hash já com o port com código malicioso. - Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
