LINUX.ORG.RU

Публичное тестирование: воспроизводима ли сборка Tails?

 , ,


0

1

Разработчики анонимного LiveCD Tails уже давно пытаются сделать доказуемым утверждение, что официальные бинарные ISO-образы действительно являются продуктом сборки исходных текстов соответствующей версии Tails, а не отличающейся версии (например, с закладками). И, кажется, у них получилось.

Идея доказательства — воспроизводимость сборки. Т.е. повторный запуск процедуры сборки (в т.ч. другим человеком на другом компьютере) должен дать на выходе побайтно совпадающий результат. Априори это не так — например, сборочная система может записывать дату сборки, или явно вызывать random() по самым разным причинам, или просто обрабатывать в каком попало (т.е. невоспроизводимом) порядке файлы из одного каталога, или вытворять другие действия с непредсказуемым, но неважным для функционирования конечного продукта, результатом. Все такие неопределенности, кажется, устранены.

Кажется — поскольку пока все проверки заведомо проходят только на компьютерах разработчиков. Внешнего подтверждения нет, просто поскольку никто «посторонний» на момент публикации первоисточника не пытался собрать Tails у себя и сравнить полученный образ с официальным. Собственно, сейчас разработчики просят сообщество провести самостоятельную тестовую сборку и сравнение, а также сообщить им о результатах.

>>> Подробности

★★★★★

Проверено: Shaman007 ()
Ответ на: комментарий от af5

Не помню, может это про jit было или типа того, но с другой стороны, если эксплойт протестированный на одной версии ПО (например в редхатовском дистре) не подойдет к такому же ПО из другого дистра - тоже не плохо. Ну и каждый минорный апдейт опять же будет ломать эксплойт.

Неплохо, но не идеально. Всё, что надо разработчику эксплоита — добавлять версии под популярные конфигурации ПО. Это не так сложно. А когда на хосте действительно все адреса рандомные и ты при всём желании никогда не узнаешь, где какая функция, это отсекает целый пласт атак.

Legioner ★★★★★ ()
Ответ на: комментарий от kirk_johnson

Ну понятно, короче это введение дополнительных центров валидации. Чтобы некие ребята могли сказать «да-да, мы проверили, на сайте Tails действительно нефальшивые образы».

Только встаёт вопрос, а зачем верить каким-то ребятам. Если ты - настоящий параноик (а Tails, я так понимаю, именно для параноиков), то лучше не верить никому и собрать образ собственноручно. А тогда и сверять ничего не надо, уже бессмысленно.

Впрочем, если верить mandala, то изначально это дебиановский проект. Признаю, что для Дебиана это таки имеет смысл, так как там аудитория гораздо шире. Аудит перед внедрением на предприятие, оборонка, вот это всё.

Crocodoom ()
Ответ на: комментарий от router

Гораздо больше можно спрятать в коде (его там до чёрту, целый debian с гнумом и прикладухой). Скрипты сборки открыты. Если поверить что в инструментах используемых сборочными скриптами нет каких-то «фич» помогающих незаметно вбросить в собираемое бэкдор то количество используемых при сборке инструментов далеко не самая большая проблема

MrClon ★★★★★ ()

Внешнего подтверждения нет, просто поскольку никто «посторонний» на момент публикации первоисточника не пытался собрать Tails у себя и сравнить полученный образ с официальным.

Наверное, это потому, что кроме разработчиков это никому не нужно и не интересно? Хомякам пофиг, «Русские Хакеры» скорее всего не будут писать у себя на домашней страничке «да, мы пересобрали, всё ок».

Alve ★★★★★ ()
Ответ на: комментарий от mandala

Только печально что она не про успехи сообщества дебиана, а про гнилую пиар-кампанию от левых васянов.

Новость про успехи сообщества Debian не пропустили бы, так как она была бы только про количественный прогресс. А у Tails получился качественный скачок: речь идет не о том, что какой-то процент пакетов в репозитории собирается воспроизводимо, а о воспроизводимой сборке целого ISO-образа.

Да, инструменты пришли из Debian, и львиную долю работы проделали разработчики Debian.

AEP ★★★★★ ()

Так и не получилось скомпилять. В виртуалке оно собраться не может (для сборки KVM нужен), в чруте тоже какие-то траблы. Как следует разбираться лень. Не хочу тащить в основную систему всё это барахло нужное для сборки

MrClon ★★★★★ ()

Тогда уже нужно собирать сорцы доверенным конпелятором, который должен в свою очередь каким-то образом быть доверенным. Где гарантии что гэцэцэ не инжектит закладки?

anonymous ()
Ответ на: комментарий от mandala

Это проект Дебиана. А эти долбодятлы её только щас взяли (после много лет работы) и просто пиарят свою васян-сборку. Уроды. Я был лучшего о них мнения.

Полностью поддерживаю.

Odalist ★★★★★ ()

уже давно пытаются сделать доказуемым

Зачем об этом лоровским „читателям” открытых исходников рассказали? Они же теперь заснуть не смогут.

h578b1bde ★☆ ()
Ответ на: комментарий от mandala

Это проект Дебиана. А эти долбодятлы её только щас взяли (после много лет работы) и просто пиарят свою васян-сборку. Уроды. Я был лучшего о них мнения.

Почему твоё мнение изменилось? Разве они нарушили лицензию?

h578b1bde ★☆ ()
Ответ на: комментарий от mandala

Да. Только печально что она не про успехи сообщества дебиана, а про гнилую пиар-кампанию от левых васянов.

Ты так говоришь как будто среди сообщества дебиана нету левых васянов, занимающихся гнилой пиар-кампанией. Вспомни историю с неявной подменой ffmpeg на libav мейнтейнером, страдающим NIH-синдромом в терминальной стадии.

h578b1bde ★☆ ()
Ответ на: комментарий от cheshire_cat

Свобода и всё такое... что в этом плохого?

Как будто ты первый день на ЛОРе.

  1. Ко-ко-ко, это опенсорц, тебе никто ничего не должен, не нравится — пили форк.
  2. Куд-кудах, левые васяны взяли код после многих лет работы и пиарятся, уроды.

Номер пункта с примерным текстом сообщения выбирается в соответствии с темой обсуждения. Впрочем, часто в пределах одного треда допустимы оба варианта поочерёдно. Иногда даже в одном сообщении.

h578b1bde ★☆ ()
Ответ на: комментарий от h578b1bde

Ахах), твой коммент сделал мне день). Нужно будет запомнить на случай важных переговоров.

А вообще забавно смотрится как жалуются на ресурсе СПО о том, что кто-то у кого-то вдруг взял готовое решение, это да...

cheshire_cat ()
Ответ на: комментарий от Vudod

По идее - должны. Если не на уровне образа, то на уровне бинарников - точно. Самая веселуха - это всё, что на Python. Оно в свой байткод вставляет timestamp и отключить это можно только костылями или запатчив сам интерпретатор.

vimusov ()
Ответ на: комментарий от anonymous

Знал бы ты как многие лаборатории на НДВ проверяют для ФСТЭК (да и для МО). За всех не поручусь, но большинство просто выдают индульгенции. А если говорить о такой огромной штуке как целый дистрибутив и требования от НДВ 3, то я уверен, что там индульгенция. Это физически не осилить в разумные сроки. О чем говорить, когда программулины на 100 МБ сорцов можно год и более сертифицировать, если правильно все делать и от требований не отступать (и закончить отрицательным заключением).

мимосертификатор

anonymous ()
Ответ на: комментарий от Legioner

Вообще идея настолько очевидная, что не понятно, почему это всё не делалось испокон веков

А я не понимаю, зачем они так заморочились. Что им мешало взять официальный ISO дистриб какого-нибудь линуха с известной контрольной суммой и собрать на нем свое поделие.

Кто хочет проверить - берет тот же дистриб, исходники и собирает.

Совпадение результата будет байт в байт.

После этого чека можно собирать те же исходники и на своем любименьком дистре.

Xintrea ★★★★★ ()