https://ssd.eff.org/ru/module/руководство-по-защите-от-фишинговых-атак
пример аудита оупен исходников на безопастность как нонче модна грить
Quote
https://ru.m.wikipedia.org/wiki/TrueCrypt
Аудит
В 2013 году начался сбор средств[10] для проведения независимого аудита TrueCrypt, толчком к которому послужила в том числе полученная от бывшего сотрудника АНБ Сноудена информация о намеренном ослаблении спецслужбами средств шифрования. Планировалось, что в ходе проверки будет проведён анализ совместимости лицензии TrueCrypt с другими открытыми лицензиями, будет произведён криптографический анализ и будет разработана технология, позволяющая делать компиляцию исходного кода программы с одинаковым результатом на разных компьютерах[11][12].
На аудит было собрано свыше 60 000 долларов. 14 апреля 2014 года завершился первый этап проверки, критических ошибок обнаружено не было[13][14].
К началу апреля 2015 года аудит был завершён. Он не выявил никаких уязвимостей или серьёзных недостатков в архитектуре приложения и показал, что TrueCrypt является хорошо спроектированной криптографической программой, хоть и не идеальной[15][16][17].
После прекращения разработки TrueCrypt на основе его исходных кодов появилось несколько форков, среди которых стоит отметить проект VeraCrypt, созданный ещё до закрытия TrueCrypt с целью усиления методов защиты ключей шифрования (заменой алгоритма RIPEMD-160 на SHA-512 и SHA-256) и CipherShed (в котором авторы попытались учесть замечания, выявленные в процессе аудита TrueCrypt)[18].
Критика
В июле 2015 года компания ESET опубликовала отчёт[19], в соответствии с которым русскоязычная версия TrueCrypt 7.1a, загруженная с truecrypt.ru, содержала вредоносную программу, а сам сайт использовался как командный центр, с которого отправлялись команды зараженным компьютерам[20].
В сентябре 2015 года были обнаружены две критические уязвимости (CVE-2015-7358[21], CVE-2015-7359[22]), позволяющие получить права администратора и доступ к зашифрованным данным[23].
Аудит
В 2013 году начался сбор средств[10] для проведения независимого аудита TrueCrypt, толчком к которому послужила в том числе полученная от бывшего сотрудника АНБ Сноудена информация о намеренном ослаблении спецслужбами средств шифрования. Планировалось, что в ходе проверки будет проведён анализ совместимости лицензии TrueCrypt с другими открытыми лицензиями, будет произведён криптографический анализ и будет разработана технология, позволяющая делать компиляцию исходного кода программы с одинаковым результатом на разных компьютерах[11][12].
На аудит было собрано свыше 60 000 долларов. 14 апреля 2014 года завершился первый этап проверки, критических ошибок обнаружено не было[13][14].
К началу апреля 2015 года аудит был завершён. Он не выявил никаких уязвимостей или серьёзных недостатков в архитектуре приложения и показал, что TrueCrypt является хорошо спроектированной криптографической программой, хоть и не идеальной[15][16][17].
После прекращения разработки TrueCrypt на основе его исходных кодов появилось несколько форков, среди которых стоит отметить проект VeraCrypt, созданный ещё до закрытия TrueCrypt с целью усиления методов защиты ключей шифрования (заменой алгоритма RIPEMD-160 на SHA-512 и SHA-256) и CipherShed (в котором авторы попытались учесть замечания, выявленные в процессе аудита TrueCrypt)[18].
Критика
В июле 2015 года компания ESET опубликовала отчёт[19], в соответствии с которым русскоязычная версия TrueCrypt 7.1a, загруженная с truecrypt.ru, содержала вредоносную программу, а сам сайт использовался как командный центр, с которого отправлялись команды зараженным компьютерам[20].
В сентябре 2015 года были обнаружены две критические уязвимости (CVE-2015-7358[21], CVE-2015-7359[22]), позволяющие получить права администратора и доступ к зашифрованным данным[23].
Quote
https://kiwibyrd.org/2019/06/30/1964/
сегодня АНБ вполне способно подготовить, к примеру, такие исходные коды программ, которые незаметно, но радикально ослабляют общую защиту системы. Причем делается это столь искусно, что для выявления преднамеренного дефекта в исходном тексте кода требуются весьма опытные аналитики, глубоко понимающие тонкие нюансы в работе системы. О реальных ситуациях с такими хитростями в открытых исходниках ОС Linux и OpenBSD можно найти подробности в текстах «Такая вот паранойя» и «Без срока давности» .
Кроме того, имея официальный доступ к обновлениям программ, АНБ может изначально предоставить вполне безопасный код, а чуть позднее, когда обостренное внимание к вкладу спецслужбы несколько ослабнет, незаметно встроить нужный бэкдор в обновленную версию. Нечто подобное – причем и без официального участия АНБ – происходило с компрометацией защиты коммуникаций в ОС компании Apple
сегодня АНБ вполне способно подготовить, к примеру, такие исходные коды программ, которые незаметно, но радикально ослабляют общую защиту системы. Причем делается это столь искусно, что для выявления преднамеренного дефекта в исходном тексте кода требуются весьма опытные аналитики, глубоко понимающие тонкие нюансы в работе системы. О реальных ситуациях с такими хитростями в открытых исходниках ОС Linux и OpenBSD можно найти подробности в текстах «Такая вот паранойя» и «Без срока давности» .
Кроме того, имея официальный доступ к обновлениям программ, АНБ может изначально предоставить вполне безопасный код, а чуть позднее, когда обостренное внимание к вкладу спецслужбы несколько ослабнет, незаметно встроить нужный бэкдор в обновленную версию. Нечто подобное – причем и без официального участия АНБ – происходило с компрометацией защиты коммуникаций в ОС компании Apple
Даже конечная сборка из комплектующих оказывает свое влияние на дальнейшую эксплуатацию, не говоря уже о самих комплектующих.
