Debian เป็นหนึ่งใน Linux distributions (การกระจาย) ยอดนิยมที่สุด มันแข็งแกร่ง น่าเชื่อถือ และเทียบกับ Arch และ Gentoo ค่อนข้างง่ายสำหรับมือใหม่ Ubuntu สร้างบนมัน และมักใช้ขับ Raspberry Pi
แต่มันถูกกล่าวหาว่าอยู่ในอำนาจของเครื่องจักรข่าวกรองอเมริกา ตาม Julian Assange ผู้ก่อตั้ง Wikileaks
หรือไม่?
ในการพูดที่งาน World Hosting Days conference ปี 2014 Julian Assange อธิบายว่ารัฐบางรัฐ (ไม่ได้เรียกชื่อ คอฟฟ์ อเมริกา คอฟฟ์) ทำให้บาง Linux distributions ไม่ปลอดภโดยเจตนา เพื่อดึงเข้ามาใต้แผงการเฝ้าระวังของพวกเขา คุณสามารถดูคำพูดเต็มหลัง 20 นาทีได้ที่นี่:
แต่ Assange ถูกต้องไหม?
ดู Debian และความปลอดภภาพ
ในการพูดของ Assange เขากล่าวว่ามี distributions หลายสิบถูกทำลายโดยเจตนา แต่เขาเรียก Debian โดยชื่อ ดังนั้นเราจึงเน้นที่ตัวนี้
ใน 10 ปีที่ผ่านมา มีช่องโหว่หลายอย่างถูกค้นพบใน Debian บางอย่างรุนแรง เป็นช่องโหว่ zero-day ที่ส่งผลต่อระบบทั่วไป บางอย่างส่งผลต่อความสามารถในการสื่อสารปลอดภกับระบบระยะไกล
ช่องโหว่เพียงอย่างเดียวที่ Assange กล่าวถึงโดยตรงคือ bug ใน OpenSSL random number generator ของ Debian ที่ค้นพบในปี 2008
ตัวเลขสุ่ม (หรือ pseudorandom อย่างน้อย; ยากมากที่จะได้ความสุ่มแท้บนคอมพิวเตอร์) เป็นส่วนสำคัญของการเข้ารหัส RSA เมื่อ random number generator กลายเป็น predictable (คาดการณ์ได้) ประสิทธิภาพของการเข้ารหัสจะลดลง และเป็นไปได้ที่จะถอดรหัส traffic
ยอมรับว่า ในอดีต NSA เคยอ่อนแอความแข็งแกร่งของการเข้ารหัสระดับพาณิชย์โดยเจตนา โดยลด entropy ของตัวเลขสุ่มที่สร้างขึ้น นั่นเป็น เรื่องนานมาก เมื่อการเข้ารหัสแข็งแกร่งถูกมองด้วยความสงสัยโดยรัฐบาลสหรัฐ และแม้แต่อยู่ภายใต้กฎหมายควบคุมการส่งออกอาวุธ หนังสือ The Code Book ของ Simon Singh อธิบายยุคนี้ดี มุ่งเน้นวันแรกของ Pretty Good Privacy ของ Philip Zimmerman และการต่อสู้ทางกฎหมายที่แข็งขันกับรัฐบาลสหรัฐ
แต่นั่นเป็นเรื่องนานแล้ว และดูเหมือน bug ปี 2008 นี้เป็นผลจาก ความสามารถทางเทคโนโลยีที่ขาดความสามารถอย่างน่าประหลาด (stunning technological incompetence) มากกว่าความประสงค์ร้าย
สองบรรทัดของโค้ดถูกลบออกจากแพ็กเกจ OpenSSL ของ Debian เพราะมันสร้าง warning messages (ข้อความเตือน) ในเครื่องมือ build Valgrind และ Purify บรรทัดถูกลบ และ warning หายไป แต่ความสมบูรณ์ของการนำ OpenSSL ไปใช้ของ Debian ถูกทำลายอย่างรุนแรง (fundamentally crippled)
ตาม Hanlon's Razor อย่า歸咎於 (attribute to) ความประสงค์ร้ายสิ่งที่อธิบายได้ง่ายด้วยความขาดความสามารถ (incompetence) โดยบังเอิญ bug นี้ถูกล้อเลียนโดย web comic XKCD
บล็อก IgnorantGuru สpekulate (คาดเดา) ว่า bug Heartbleed ใหม่ๆ (ที่เราครอบคลุมปีที่แล้ว) อาจเป็นผลิตภัณฑ์ของหน่วยงานความปลอดภที่ ตั้งใจ พยายามทำลายการเข้ารหัสบน Linux
Heartbleed เป็นช่องโหว่ความปลอดภในไลบรารี OpenSSL ที่อาจเห็นได้ว่า ผู้ใช้ร้ายอาจขโมยข้อมูลที่ได้รับการคุ้มครองโดย SSL/TLS โดยการอ่านหน่วยความจำของเซิร์ฟเวอร์ที่เปราะบาง และได้ secret keys ที่ใช้เข้ารหัส traffic ณ ขณะนั้น ยุกไคถึงความสมบูรณ์ของระบบธนาคารออนไลน์และพาณิชย์ออนไลน์ ร้อยพันระบบเปราะบาง และส่งผลเกือบทุก Linux และ BSD distro
ผมไม่แน่ใจว่ามีโอกาสเท่าไหร่ที่หน่วยงานความปลอดภอยู่เบื้องหลัง
การเขียน encryption algorithm ที่แข็งแกร่ง ยากมาก การนำไปใช้ (implement) ยากเท่าเทียม มันเป็นเรื่องที่ไม่หลีกเลี่ยงที่จะค้นพบช่องโหว่หรือข้อบกพร่องบางอย่าง (มักพบใน OpenSSL) ที่รุนแรงจนต้องสร้าง algorithm ใหม่ หรือเขียน implementation ใหม่
นั่นคือเหตุผลที่ encryption algorithms มีเส้นทาง演化 (evolutionary) และอัลกอริทึมใหม่สร้างขึ้นเมื่อพบข้อบกพร่องในอัลกอริทึมเก่า
การกล่าวหาแทรกแซงของรัฐบาลใน Open Source ก่อนหน้านี้
แน่นอน ไม่แปลกที่รัฐบาลสนใจโครงการ open source ยังไม่แปลกที่รัฐบาลถูกกล่าวหาว่ามีอิทธิพลจริงต่อทิศทางหรือการทำงานของโครงการซอฟต์แวร์ ไม่ว่าจะผ่านการบังคับ การแทรกแซง หรือการสนับสนุนทางการเงิน
Yasha Levine เป็นนักข่าวสืบสวนที่ผมรักมาก เขาเขียนให้ Pando.com ตอนนี้ แต่นั่นก่อนเขาตัดฟันเขียนให้ Muscovite biweekly (นิตยสารทุกสองสัปดาห์ของมอสโก) The Exile ซึ่งถูกปิดในปี 2008 โดยรัฐบาล Putin ในอายุ 11 ปี มันดังเรื่องเนื้อหาที่粗魯 (coarse) และผิดกฎหมาย เท่ากับรายงานสืบสวนที่รุนแรงของ Levine (และผู้ร่วมก่อตั้ง Mark Ames ที่เขียนให้ Pando.com ด้วย)
ลักษณะนักข่าวสืบสวนนี้ติดตามเขาไปที่ Pando.com ในปีที่ผ่านมา Levine เผยแพร่หลายชิ้นเน้น ties (ความสัมพันธ์) ระหว่าง Tor Project และสิ่งที่เขาเรียกว่า US military-surveillance complex (กลุ่มทหาร-การเฝ้าระวังของสหรัฐ) แต่จริงๆ คือ Office of Naval Research (ONR) และ Defense Advanced Research Projects Agency (DARPA)
Tor (หรือ The Onion Router) สำหรับคนที่ยังไม่ทันรู้ คือซอฟต์แวร์ที่ทำให้ traffic นิรนาม (anonymizes) โดยโยนผ่าน encrypted endpoints หลายจุด ข้อดีคือคุณใช้อินเทอร์เน็ตได้โดยไม่เปิดเผยตัวตนหรือถูกเซ็นเซอร์ท้องถิ่น ซึ่งสะดวกถ้าอาศัยในระบอบกดขี่อย่าง จีน คูบา หรือเอริเทรีย วิธีง่ายที่สุดได้ Tor คือ Tor Browser ที่พัฒนาจาก Firefox ซึ่งผมพูดถึงไม่กี่เดือนที่แล้ว
โดยบังเอิญ สื่อที่คุณอ่านบทความนี้อยู่ คือผลิตภัณฑ์ของการลงทุนของ DARPA ไม่มี ARPANET ไม่มีอินเทอร์เน็ต
สรุปจุดของ Levine: เนื่องจาก TOR ได้การสนับสนุนทุนส่วนใหญ่จากรัฐบาลสหรัฐ จึงเชื่อมโยงกับพวกเขาอย่างต่อเนื่อง และไม่สามารถดำเนินงานอิสระได้ มีผู้มีส่วนร่วม TOR หลายคนที่เคยทำงานกับรัฐบาลสหรัฐในรูปแบบใดรูปแบบหนึ่ง
อ่านจุดของ Levine ให้ครบใน "Almost everyone involved in developing Tor was (or is) funded by the US government" เผยแพร่ 16 กรกฎาคม 2014
จากนั้นอ่าน rebuttal (ข้อโต้แย้ง) โดย Micah Lee ที่เขียนให้ The Intercept สรุป counter-arguments: DOD (กระทรวงกลาโหม) ต้องพึ่งพา TOR เท่าเทียมเพื่อคุ้มครองเอจентของพวกเขา โครงการ TOR เปิดเผยแหล่งเงินทุนเสมอมา
Levine เป็นนักข่าวดี คนที่ผม恰好ยกย่องและเคารพ แตผมบางครั้งกังวลว่าเขาตกในกับดักการคิดว่ารัฐบาล — รัฐบาลไหนก็ตาม — เป็น monolithic entities (สิ่งมีชีวิตเดี่ยว) พวกเขาไม่ใช่ มันคือ เครื่องจักรซับซ้อนกับเกียร์อิสระหลายตัว แต่ละตัวมีความสนใจและแรงจูงใจของตัวเอง ทำงานอิสระ
เป็น เป็นไปได้สมเหตุสมผล (totally plausible) ว่าภาคหนึ่งของรัฐบาลยินดีลงทุนในเครื่องมือเพื่อปลดปล่อย ขณะที่อีกภาคทำพฤติกรรมที่ต่อต้านเสรีภาพ และต่อต้านความเป็นส่วนตัว
และเหมือนที่ Julian Assange แสดงให้เห็น มัน ง่ายอย่างน่าประหลาด ที่จะสมมติว่ามี conspiracy (คอมมูนิสต์/คบาล) เมื่อคำอธิบายที่มีเหตุผลนั้นไม่มีบาปมากนัก
เราถึงจุดสูงสุดของ WikiLeaks แล้วไหม?
แค่ผมคนเดียวไหม หรือวันที่ดีของ WikiLeaks ผ่านไปแล้ว?
ไม่กี่ปีก่อน Assange พูดที่งาน TED ใน Oxford และงานแฮ็กเกอร์ใน New York แบรนด์ WikiLeaks แข็งแกร่ง และพวกเขากำลังเปิดเผยสิ่งสำคัญอย่าง การล้างเงินในระบบธนาคารสวิส และการทุจริตสุดขีดในเคนยา
ตอนนี้ WikiLeaks ถูกบดบังโดยตัวละครของ Assange — ชายที่อาศัยอยู่ในการลี้ภัยตัวเองในสถานทูตเอกวาดอร์ลอนดอน หนีจากข้อกล่าวหาอาชญากรรมรุนแรงในสวีเดน
Assange เองดูเหมือนไม่สามารถเอาชนะความดังเก่าได้ และตอนนี้ใช้การอ้างอย่าง outrageous (ผิดปกติ) กับทุกคนที่ฟัง มันเกือบน่าสงสาร โดยเฉพาะเมื่อคิดว่า WikiLeaks ทำงานสำคัญบางอย่างที่ถูกเบี่ยงเบนโดยเรื่องราวรอบข้างของ Julian Assange
แต่อย่างไรก็ตาม ไม่ว่าคุณคิดยังไงกับ Assange มีสิ่งหนึ่งที่เกือบแน่นอน ไม่มีหลักฐานเลยว่าสหรัฐแทรกแซง Debian หรือ Linux distro อื่นๆ ใดๆ
Photo Credits: 424 (XKCD), Code (Michael Himbeault)
