Spionageskandal: Linux-Kernel frei von NSA-Manipulationen?

[newsbot]

Die NSA hat offenbar in großem Stil ihre Finger im Spiel, wenn es um Verschlüsselung geht. Beim Linux-Kernel hat sie allerdings keine Chance.

Weiterlesen...

 

[tgruene]

"Keine Chance" beschreibt das Problem doch nicht zutreffend. Theoretisch koennte die NSA doch z.B. "V-Leute" zur Entwicklung bei GNU-Projekten wie luke oder gnupg einschlaeusen, die den Quellcode so manipulieren, dass es ein bestimmtes Passwort gibt, dass stets oeffnet, unabhaengig von dem, das der Nutzer gewaehlt hat.
Sicher, wenn man die Stelle im Quellcode findet, koennte man diese Manipulation enttarnen, aber bis dahin waeren alle mit gnupg verschluesselten Emails bequem von der NSA lesbar.
Wie gut ist der Quellcode von diversen Open Source Projekten oder den Kernel geprueft, um solche Manipulationen auszuschliessen?
Dass die NSA Emails liest, ueberrascht wenig, weil es technisch so einfach ist - etwa so, als wuerde die Post alle Postkarten kopieren und archivieren. Aber die (aus meiner Sicht) illegalen Massnahmen und Unternehmungen finde ich erschreckend.

 

[bitmuncher]

"Keine Chance" ist sogar mehr als unzutreffend. Jeder Kernel-Entwickler wird bestätigen, dass es im Kernel-Source Dateien gibt, die seit Jahren niemand mehr angeschaut hat. Und es wurde in der Vergangenheit bereits an Linux bewiesen, dass auch viele kleine Code-Fragmente, die über einen Zeitraum von Jahren eingeschleust werden, sich im Endeffekt zu einer Backdoor zusammenfügen können, die erst zu spät und dann auch eher zufällig entdeckt wird. Aufgrund seiner monolithischen Struktur ist der Linux-Kernel trotz Open-Source angreifbar wie kein anderer. Im Prinzip kann jeder Treiber auf alle Ressourcen zugreifen, die auch dem Speicher-Management zur Verfügung stehen, so dass eine Sicherheitslücke im Treiber immer auch gleich den gesamten Kernel-Space betrifft. Wer da ernsthaft, ohne jede Zeile des Linux-Codes gesichtet zu haben, behauptet, der NSA hätte keine Chance bei Linux, der kennt entweder die Prozesse bei der Linux-Kernel-Entwicklung nicht oder ist ziemlich verblendet von Open Source. Jede Webapplikation unterliegt heutzutage strengeren QA-Kontrollen als der Linux-Kernel.