Компьютерра PDA N89 (15.01.2011-21.01.2011)

Основной фокус расследования аудиторов, насколько можно понять, тем временем сместился с Райта на вклад Ангелоса Керомитиса, который, согласно де Раадту, был архитектором и главным разработчиком стека IPSec в OpenBSD. Правда, есть информация, что Керомитис официально начал работать на NetSec несколько позже. Но при этом, как отмечает де Раадт, именно тогда в кодах OpenBSD появилась концепция небезопасных векторов инициализации, которую, впрочем, затем удалили на последующей стадии разработки.

По свидетельству де Раадта, те несколько багов, что уже выявил нынешний аудит, могли бы иметь последствия в ослаблении безопасности. Однако, по личному мнению лидера проекта, природа этих багов предполагает, что они не были преднамеренными и тем более не обеспечивают тайный ход в криптографию операционной системы. Но можно отметить, что один из этих багов, относящийся к известной специалистам "проблеме CBC-оракула" (предсказуемые векторы инициализации, кратко IV), в IPSEC-стеке уже был выявлен прежде и в свое время залатан Ангелосом Керомитисом. Однако в драйверах устройств, за разработку которых отвечал Джейсон Райт, этот же баг остался проигнорированным. Другая из выявленных ныне дыр также связана с инструкцией в аппаратном драйвере. Кроме того, де Раадт мимоходом упомянул ещё об одной проблеме в подсистеме генерации случайных чисел, однако в подробности на этот счёт пока вдаваться не стал.

Наиболее же серьёзным откровением для всех интересующихся, как считается, стала "новость" о давнем обнаружении условного нехорошего выражения в более старых версиях кода модуля ESP (Encapsulating Security Payload). Эта серьёзная дыра была по-тихому заделана разработчиками ещё в 2002 году, но, что примечательно, без обычного процесса публичного раскрытия уязвимости. Этот баг как таковой не присутствует в современных версиях OpenBSD, однако он оставался неизвестным для пользователей из-за отсутствия публичных рекомендаций по укреплению безопасности.

В своих оценках и выводах по итогам первичного аудита кода и его находкам де Раадт описывает баг CBC IV как "весьма серьёзное происшествие". Он, однако, не склонен считать, будто выявленные к настоящему времени дыры в защите были внесены в код преднамеренно или с целью внедрения бэкдора. В целом же нынешняя позиция Тео де Раадта по данному вопросу сформулирована им следующим образом:

"NETSEC, как компания, была вовлечена в этот специфический "околостоличный" бизнес со взятием подрядов на работы по обеспечению безопасности и анти-безопасности для отдельных ведомств правительства. Я допускаю, что NETSEC действительно привлекали к написанию бэкдоров, как и утверждается. Но даже если они и были написаны, я не верю, что им удалось пробраться в наше дерево. Вполне возможно, что бэкдоры были созданы, но только как собственный продукт NETSEC. Если такие проекты и существовали в NETSEC, мне неизвестно, участвовали ли в них лично или хотя бы знали ли о них Джейсон (Райт), Ангелос (Керомитис) или кто-либо ещё [из тех разработчиков NETSEC, кто занимался созданием OpenBSD]."

Хотя выводы де Раадта, по идее, должны успокоить пользователей ОС OpenBSD и связанных с ней проектов, это, однако, совсем не означает, что всё в данной истории прояснилось. Здесь по-прежнему остается довольно много нестыковок и мутных моментов. Да и вообще можно ли выявить изощрённо внедрённый бэкдор всего за несколько дней проверки кода в столь серьёзной системе - это сам по себе очень большой вопрос.

Примерно об этом же говорит и ещё одно письмо с комментариями от экс-директора NETSEC Грегори Перри, которое он написал для известного сайта "утечек и компромата" Cryptome.org: