Re: [FYI] MS: "Closed source is more secure"

[Thomas Roessler <roessler@does-not-exist.org>]

On 2001-04-13 23:13:51 +0200, dietz@rotfl.franken.de wrote:

> Ich vermute einfach daß sich CA-2000-09 auf den "Angriff" auf
> PGP-Schlüssel bezieht. Nun ja. Es ist sicher ungeschickt, es wie
> getan zu machen, nur ist eigentlich in allen Dokumenten die ich
> im Kopf habe die Rede von "secure storage". Das "reliable
> computing" ist imo implizit.

Es ist dieser Code in PGP 5.0i, der bei der Schlüsselerzeugung
Zufallszahlen sammelt:

static unsigned
pgpDevRandomAccum(int fd, unsigned count)
{
	char RandBuf;
	unsigned short i = 0;
	
	pgpAssert(count);
	pgpAssert(fd >= 0);
	
	for(i = 0; i <= count; ++i) {
		RandBuf = read(fd, &RandBuf, count);
		pgpRandomAddBytes(&pgpRandomPool, (byte *)&RandBuf, sizeof(RandBuf));
		pgpRandPoolAddEntropy(256);
	}
	
	return(i);
}

(fd ist ein file descriptor für /dev/random)

> > hätten gefunden und eliminiert werden müssen.

> Äh, verzeih bitte aber reviews sind Prozesse die im besten Fall
> die Anwesenheit, nie aber die Abwesenheit von Fehlern beweisen
> können. Sie sind halt _wesentlich_ billiger als formale Beweise.
> Und wesentlich weniger verläßlich.

Der PGP-Bug ist nur ein Beispiel für einen Fehler, den ein
funktionierender Peer-Review-Prozeß einfach finden _muß_. (Letztlich
ist er auch jemandem bei der Lektüre des Sourcecode aufgefallen.
2000.  Er war wohl der erste, der diese sicherheitskritische
Funktion verstehend gelesen hat.)

> Hast Du MSens Statement gelesen? Die sagen, open source werde
> _nicht_ reviewed. Und dies kann ganz eindeutig verneint werden.

Häufig wird es zu spät reviewed.  Häufig gar nicht.

>> Insbesondere folgt aus Closed Source natürlich überhaupt nicht,
>> daß ein besserer Review-Prozeß möglich sei.

> Sicher nicht. Genauso wie die Umkehrung (dies nur als Annahme,
> glauben tu' ich was anderes). Damit sind beide Verfahren
> gleichwertig, nicht wie MS behauptet Teilmengen. Bedenkt man
> zudem daß open source reviews im gegensatz zu c-s den Vorteil
> haben daß Hinz und Kunz (Du hast den Schockwellenreiter gelesen
> ?;) diese nachvollziehen können so würde ich Deiner Behauptung
> entgegensetzen daß aus open source zumindest eine bessere
> Bewertbarkeit der Reviews folgen kann.

-- 
Thomas Roessler			    <roessler@does-not-exist.org>