В следующем письме Тео де Раадта, разосланном им для разработчиков OpenBSD, обрисована суть обнаруженных багов и делается попытка прояснить те роли, что могли сыграть в их появлении конкретные программисты от фирмы NetSec — Джейсон Райт и Ангелос Керомитис. Нет никаких сомнений, что два этих видных разработчика проекта OpenBSD были непосредственно связаны с NetSec, однако де Раадт со всей осторожностью предупреждает, что не знает, были ли сами эти люди в курсе относительно тесных дел их компании с ФБР.
Как бы там ни было, система контроля над модификациями кода, реализованная при разработке OpenBSD, позволяет аудиторам проконтролировать, какие из разработчиков участвовали в написании каких именно сегментов кода. Согласно де Раадту, Джейсон Райт был главным образом вовлечён в программирование драйверов и не имел никакого отношения к созданию криптографической подсистемы OCF. При этом он явно работал над некоторыми частями стека IPSec. В своём ответном письме Джейсон Райт категорически отверг обвинения, будто он встраивал бэкдоры в код OpenBSD. Однако де Раадт тут же подверг Райта критике за то, что он в своей реакции так и не прояснил суть работы, которой занимался в NetSec.
Основной фокус расследования аудиторов, насколько можно понять, тем временем сместился с Райта на вклад Ангелоса Керомитиса, который, согласно де Раадту, был архитектором и главным разработчиком стека IPSec в OpenBSD. Правда, есть информация, что Керомитис официально начал работать на NetSec несколько позже. Но при этом, как отмечает де Раадт, именно тогда в кодах OpenBSD появилась концепция небезопасных векторов инициализации, которую, впрочем, затем удалили на последующей стадии разработки.
По свидетельству де Раадта, те несколько багов, что уже выявил нынешний аудит, могли бы иметь последствия в ослаблении безопасности. Однако, по личному мнению лидера проекта, природа этих багов предполагает, что они не были преднамеренными и тем более не обеспечивают тайный ход в криптографию операционной системы. Но можно отметить, что один из этих багов, относящийся к известной специалистам «проблеме CBC-оракула» (предсказуемые векторы инициализации, кратко IV), в IPSEC-стеке уже был выявлен прежде и в свое время залатан Ангелосом Керомитисом. Однако в драйверах устройств, за разработку которых отвечал Джейсон Райт, этот же баг остался проигнорированным. Другая из выявленных ныне дыр также связана с инструкцией в аппаратном драйвере. Кроме того, де Раадт мимоходом упомянул ещё об одной проблеме в подсистеме генерации случайных чисел, однако в подробности на этот счёт пока вдаваться не стал.
Наиболее же серьёзным откровением для всех интересующихся, как считается, стала «новость» о давнем обнаружении условного нехорошего выражения в более старых версиях кода модуля ESP (Encapsulating Security Payload). Эта серьёзная дыра была по-тихому заделана разработчиками ещё в 2002 году, но, что примечательно, без обычного процесса публичного раскрытия уязвимости. Этот баг как таковой не присутствует в современных версиях OpenBSD, однако он оставался неизвестным для пользователей из-за отсутствия публичных рекомендаций по укреплению безопасности.
В своих оценках и выводах по итогам первичного аудита кода и его находкам де Раадт описывает баг CBC IV как «весьма серьёзное происшествие». Он, однако, не склонен считать, будто выявленные к настоящему времени дыры в защите были внесены в код преднамеренно или с целью внедрения бэкдора. В целом же нынешняя позиция Тео де Раадта по данному вопросу сформулирована им следующим образом:
"NETSEC, как компания, была вовлечена в этот специфический «околостоличный» бизнес со взятием подрядов на работы по обеспечению безопасности и анти-безопасности для отдельных ведомств правительства. Я допускаю, что NETSEC действительно привлекали к написанию бэкдоров, как и утверждается. Но даже если они и были написаны, я не верю, что им удалось пробраться в наше дерево. Вполне возможно, что бэкдоры были созданы, но только как собственный продукт NETSEC. Если такие проекты и существовали в NETSEC, мне неизвестно, участвовали ли в них лично или хотя бы знали ли о них Джейсон (Райт), Ангелос (Керомитис) или кто-либо ещё [из тех разработчиков NETSEC, кто занимался созданием OpenBSD]."
Хотя выводы де Раадта, по идее, должны успокоить пользователей ОС OpenBSD и связанных с ней проектов, это, однако, совсем не означает, что всё в данной истории прояснилось. Здесь по-прежнему остается довольно много нестыковок и мутных моментов. Да и вообще можно ли выявить изощрённо внедрённый бэкдор всего за несколько дней проверки кода в столь серьёзной системе — это сам по себе очень большой вопрос.
Читать дальше
