W związku z niedawnymi rewelacjami na temat udziału NSA we wstawianiu tylnych furtek do generatorów liczb losowych, w serwisie change.org pojawiła się petycja skierowana do Linusa Torvaldsa o usunięcie generatora RdRand z /dev/random.
RdRand to wbudowana funkcja generatora liczb losowych w procesorach Intela. Jej kod źródłowy nie został udostępniony, zatem weryfikacja jej poprawności nie jest prosta. Opiera się ona na standardzie NIST SP800-90, którego stworzenie było nadzorowane przez NSA. Od kilku miesięcy po sieci krążą pogłoski, że Intel współpracuje z NSA w zakresie osłabiania generatorów liczb losowych. Ostatnie rewelacje z „archiwum Snowdena” potwierdziły te podejrzenia – stąd też i petycja o usunięcie odwołań do tego generatora z kodu Linuksa. Spójrzmy zatem na to, jak zareagował na petycję jej adresat:
Where do I start a petition to raise the IQ and kernel knowledge of people? Guys, go read drivers/char/random.c. Then, learn about cryptography. Finally, come back here and admit to the world that you were wrong. Short answer: we actually know what we are doing. You don’t. Long answer: we use rdrand as _one_ of many inputs into the random pool, and we use it as a way to _improve_ that random pool. So even if rdrand were to be back-doored by the NSA, our use of rdrand actually improves the quality of the random numbers you get from /dev/random. Really short answer: you’re ignorant.
W tłumaczeniu:
Gdzie złożyć petycję o podniesienie ludzkiego ilorazu inteligencji oraz wiedzy o jądrze? Ludzie, przeczytajcie drivers/char/random.c. Potem nauczcie się kryptografii. A na końcu wróćcie tutaj i przyznajcie się światu, że nie mieliście racji. Krótka odpowiedź: wiemy co robimy. Wy nie wiecie. Długa odpowiedź: używamy rdrand jako jednego z wielu źródeł losowości i jest on sposobem na polepszenie losowości. Nawet jeśli w rdrand znajduje się tylna furtka NSA, to jego użycie poprawia jakość losowych wartości otrzymywanych z /dev/random. Bardzo krótka odpowiedź: nie znacie się.
Argumentacja najwyraźniej trafiła do autora petycji, ponieważ wycofał się ze swojego pomysłu.
Komentarze
I brawo. Wtem o to sposób jasność zwyciężyła po raz kolejny nad mitem i nie zrozumieniem podstawowych fx i implementacji bezpieczeństwa w poszczególnych rozwiązaniach. Z tym się trzeba rozprawiać i to skrupulatnie bo coraz więcej pier****nia o niczym a mniej treści. Hej! :)
Hehe ;) piękna odpowiedź :)
A ja nic nie rozumiem – jak mozna ignorowac backdoor-y NSA?
Przeczytaj jeszcze raz na spokojnie przetłumaczoną na polski odpowiedź i wszystko będzie jasne.
Mówiąc po ludzku: mówi się, że łańcuch jest tak bezpieczny jak jego najsłabsze ogniwo. W tym przypadku mamy odwrotną sytuację: mechanizm jest tak dobry, jak jego najlepszy element. I własnie dlatego można zignorować RdRand :)
Odpowiedź na poziomie nastolatka. Ale za to „internetowa”
Linus jest chyba jakimś bardzo przewrażliwionym człowiekiem bo to nie jest jego pierwsza tak nieuprzejma wypowiedź – bywały nawet dużo gorsze.
Jakbyś na co dzień miał styczność z użytkownikami (idiotami) to też byś taki był.
Ma taki styl bycia, dosyć do niego pasuje. Z drugiej strony rozmawia z użytkownikami i zmusza ich do myślenia.
Szczera, zrozumiała, bezpośrednia. Mogła być lepsza?
Heh, wczoraj zrobiłem podobną zjebkę mojemu teamowi w pracy (14 osób). Też im wytłumaczyłem dlaczego są ignorantami i że głosowanie w teamie gdzie 90% ludzi to ignoranci nie ma najmniejszego sensu…
„Gdzie złożyć petycję o poniesienie ludzkiego ilorazu inteligencji”
Powinno być „podniesienie”.
Dzięki, poprawione.
Co by tam zwyciężyło, czy nie, to dalej są tylko liczby PSEUDOLOSOWE :p
To Linus się nie zna. wersja krótka powinna nazywac się tl;dr, a nie really short answer ;-)
Wersja wyjaśnienia dla nie-informatyków:
Przypuśćmy, że kucharz ma trzech ludzi od mieszania zupy z kotle, a każdy z nich ma za zadanie kolejno dobrze wymieszać zupę. Nawet jeśli jeden z nich celowo niedokładnie miesza zupę (sabotażysta) to i tak zupa jest lepiej wymieszana, niż gdyby było ich tylko dwóch.