本月初有人声称FBI要求在OpenBSD的IPsec栈中加上后门。在审核完代码后,OpenBSD的创建者Theo de Raadt得出如下结论:在这个开源操作系统中并不存在这种威胁。
软件工程师Theo de Raadt是OpenBSD与OpenSSH项目的创建者,他近日说收到了来自于Gregory Perry的一封私人邮件,Gregory Perry是NETSEC的前CTO,负责资助OpenBSD Crypto Framework,同时还在2000——2001期间担任FBI的咨询师。Perry声称有些开发者在OpenBSD的IPsec栈中加入了大量后门,这是根据FBI的要求做的,以此作为交换来获得FBI的资助:我与FBI签订的保密协议前不久到期了,我希望你能认清这样一个事实:FBI向OCF中加入了大量后门和攻击泄漏机制,目的是为了监控EOUSA实现的站点到站点之间的VPB加密系统,EOUSA则是FBI的上一层组织。Jason Wright和其他几位开发者负责实现这些后门,我建议你最好检查一下Wright和其他几位曾供职于NETSEC的开发者提交的所有代码。
de Raadt将这封邮件发给了Gmane新闻组,并邀请IPsec代码的用户对其进行检查以确认这种说法是否属实:自从我们免费发布了IPSEC栈后,很多项目/产品都使用了其中的大量代码。十年内,IPSEC代码经历了很多变化与修复,因此现在很难确认这些说法的真实性。
这则新闻出现在很多新闻站点上,人们开始怀疑美国政府一直在监测计算机之间的通信。一周后,de Raadt就这个问题发表了调查结果。他相信“NETSEC可能像传言所说的那样编写了后门”,但“如果他们真的写了的话,我不相信他们会加到我们的系统当中,他们可能将其部署到了自己的产品中“。根据Raadt所述,在审查过程中发现了两个严重的Bug,一个与Cipher-Block Chaining(CBC) Oracle攻击有关。
Gregory Perry在信中所提到的编写后门的开发者之一Jason L. Wright否认了他这种说法:我要说的是我并没有向OpenBSD操作系统和OpenBSD Crypto Framework(OCF)中添加后门。我在工作中所接触的代码只与支持框架的设备驱动有关。我自己根本就没有碰过isakmpd和photurisd(用户密钥管理程序),我也很少接触ipsec内核(cryptodev与cryptosoft)。但我欢迎大家审核我向OpenBSD提交的一切代码。
最后的结论就是OpenBSD中并没有后门,但这个事件提醒某些开发者要再一次检查自己的代码。
原文链接:http://os.51cto.com/art/201012/241115.htm