不安全威胁
4月9日,EE Times报道了嵌入式操作系统公司Green Hills的首席执行官Dan O'Dowd的演讲。以下是一些引言:
“开源过程违反了所有安全原则。它欢迎所有人为Linux做出贡献。现在,外国情报机构和恐怖分子知道Linux将控制我们最先进的防御系统,他们可以使用虚假身份贡献颠覆性软件,这些软件很快将被纳入我们最先进的防御系统。”
“如果Linux被攻破,我们的防御系统可能会被禁用、间谍活动或被征用。”
“每天都有新的代码被添加到俄罗斯、中国和世界其他地方的Linux中。每天,这些代码都被纳入我们的指挥、控制、通信和武器系统中。这必须停止。”
“国防环境中的Linux是典型的特洛伊木马场景——一份'免费'软件的礼物被带入我们关键的防御系统内部。如果我们继续允许Linux运行这些防御系统的计划,而不要求证明它不包含颠覆性或危险的代码等待在我们把它带入内部后出现,那么我们就邀请了特洛伊的命运。”
“在大多数Linux开发人员出生之前,Ken Thompson就已经证明,'众多的眼睛'看着源代码也无法阻止颠覆。”
我们请开源倡导者兼UNIX历史学家Eric S. Raymond回应。他写道:
“好吧,首先,这家伙滥用了Thompson的例子。从技术上讲,在Thompson放入他的后门时,C编译器不是开源的——你需要一个AT&T源代码许可证才能合法地看到它。但更根本的一点是:没有什么可以阻止闭源商店的人做同样的事情。”
“O'Dowd正在做出一个未经声明的假设,即某种程度上,闭源开发可以防止用户未预期的代码被放入,而开源开发则不能。闭源代码中easter egg的广泛流行,比如Mac狗牛或嵌入在Excel '97中的飞行模拟器,表明这纯粹是胡说八道。管理人员基本上无法阻止这种事情。”
“如果我是一个敌方间谍,我宁愿贿赂一个闭源程序员,让他将一个致命的easter egg塞进DOD软件中,也不愿向一个开源项目发送补丁——我被发现的风险会小得多。”
在LinuxDevices.com论坛上的另一篇反驳中,“Concerned Citizen”回复道:“让我们不要忘记O'Dowd先生提到的恐怖分子使用专有软件攻击美国。你可能还记得,他们有Windows机器和飞行模拟器。”他总结道:
“Linux将被'强化'以用于军事系统。这将需要时间,并且会花费金钱。结果将和我们今天看到的一样好——不,更好。这样的工作正在进行中,NSA的SE Linux只是一个开始。但是,强化所需的时间更少,最终会更安全,并且成本远低于不兼容的专有系统的混合物,其中一些来自已经倒闭或口头上重视价值和实用性的供应商,或者根本不在乎真正改进他们的代码,从而危及我们和我们的部队。你的论点已经过时了,O'Dowd先生。该休息一下了。”
当然,最终决定权属于市场。为此,我们从商业周刊得到以下信息:
“Dana Myers被称为芯片巨头德州仪器(TXN)的企鹅女士。自2002年以来,Myers一直在监督开源Linux操作系统的紧凑版本的开发工作,该操作系统用于运行手机和其他电子产品中的芯片和电路板。在过去的一年中,Myers将其开发团队的规模扩大了75%,达到近100人。“世界各地的客户都在向我们询问Linux”,Myers说。
Doc Searls是Linux Journal的高级编辑。