И еще фраза

[pargentum]

Юрий Шевцов - "Огонек": "Иран взяли сбоем. Червь пожрал компьютерные системы, как моль шубу":

Почему российские строители, понимая, что подобная закладка может быть осуществлена, не заменили софт Сименса на Бушерской АЭС на свой, который как бы должен быть по определению свободным от закладок?

Comments

[vvagr.livejournal.com]

Ооооо, byelorusski след!

Кто все эти люди?

[pascendi.livejournal.com]

Что ж Вы хотите от журналюги?
Они по определению ничего не понимают в предмете, о котором пишут.

[pargentum.livejournal.com]

Но ведь писать о том, чего абсолютно не понимаешь - это же ужасно!

[trurle.livejournal.com]

За это им платят деньги, а за деньги можно все.

[nine_k]

Вопрос, кстати, законный. Могли хотя бы исходники запросить под NDA, изучить и пересобрать.

[trurle.livejournal.com]

И выловить эскплойты? Слушайте, если у Вас есть команда разработчкиков, споосбная путем чтение текста программ вылавливать эксплойты, давайте на ней озолотимся?

[nine_k]

Один из главных эксплойтов там был hardcoded password. Думаю, *такое* есть шанс выловить.

[pargentum.livejournal.com]

Для вылавливания такого, кстати, не нужны исходники.

[akovalenko.livejournal.com]

Кстати, интересно было бы подумать над такой задачкой — как скрыть наличие «инженерного пароля» (сам-то пароль скрыть не очень трудно; а вот чтобы не бросался в глаза факт «вместо того, чтобы тупо проверить, этот код делает что-то заковыристое»...)

Отбросил варианты вроде «намеренно-дефектного challenge-response» (любой нетрадиционный алгоритм уже подозрителен, а какой-нибудь sha-1 легко при трассировке отличить от «непонятной хитровывернутой бредятины») или всучивания смарт-карты, которой делегируется кусок вычислений (тоже слишком откровенно). Пока лучшим способом считаю «забытое» переполнение буфера в подсистеме логгинга (чтобы писало "failed login attempt: user=very-very-long-name-unexpected-uzhas-uzhas password-hash=0xdeadbeef........", ну и последняя пара байт password-hash от инженерного пароля аккуратно бы затирала адрес возврата:).

[stas]

Ну да, шанс есть. Как раз к построению коммунизма и закончили бы. Там несколько десятков миллионов строк кода. В смысле, только в ОС. А ещё сам специальный софт.