Тэо де Раадт (Theo de Raadt), лидер проекта OpenBSD, опубликовал в списке рассылки тревожное сообщение, в котором опубликовал письмо, свидетельствующее о том, что некоторые разработчики проекта, принимавшие участие в разработке IPSEC-стека OpenBSD на ранней стадии его развития, приняли от правительства США денежное вознаграждение за интеграцию в IPSEC-стек кода бэкдора.

Информация раскрыта Грегори Пири (Gregory Perry), бывшим техническим директором компании NETSEC, занимавшимся в 2000-2001 годах развитием поддержки шифрования в OpenBSD и работавшим совместно с ФБР над рядом проектов. Во время работы с ФБР Пири дал подписку о неразглашении информации в течение 10 лет, поэтому вынужден сообщить имеющие у него сведения только сейчас. По утверждению Пири, у него имеется информация, что ФБР профинансировал работу по интеграции в IPSEC-стек OpenBSD техники, приводящей в определенных обстоятельствах к утечке ключей шифрования и возможности мониторинга трафика внутри шифрованных VPN-соединений.

В письме также выдвигаются предположения о том, что агентство по оборонным разработкам DARPA прекратило финансирование OpenBSD после того, как по внутренним каналам была получена информация о внедрении бэкдора. Также подозрение вызывает активная позиция ФБР в плане продвижения использования OpenBSD для создания VPN и межсетевых экранов.

Пока не ясно удалось ли на самом деле внедрить бэкдор и работоспособен ли он в настоящее время. Пири сообщил какой именно разработчик OpenBSD занимался внедрением бэкдора и порекомендовал провести аудит коммитов данного человека. С момента первого выпуска IPSEC-стека от проекта OpenBSD прошло более 10 лет, с тех пор код был подвергнут многочисленным изменениям, поэтому степень опасности можно определить только после проведения полного аудита. Вызывает опасение также то, что некоторые большие части кода IPSEC от OpenBSD были заимствованы в других открытых проектах и проприетарных продуктах.

Дополнение 1: Джейсон Райт (Jason Wright), которому вменялось добавление бэкдора, принял участие в дискуссии, полностью отвергнув все высказанные в его адрес обвинения и выразив недоумение по поводу столь лживого заявления в его адрес. По словам Джейсона, он работал в основном над кодом поддержки crypto-фреймворка в драйверах устройств и не касался кода, связанного с обработкой ключей шифрования (процессы isakmpd и photurisd). Он внес несколько улучшений в код IPSEC (cryptodev и cryptosoft), но эти изменения были безобидны, в чем может убедиться любой желающий, просмотрев список его коммитов. Что касается обвинения Грегори Пири, то Джейсон Райт требует принести ему публичные извинения.

Дополнение 2: Журналистам удалось связаться с Грегори Пири, который подтвердил отправку сообщения Тэо де Раадту.

Дополнение 3: Один из разработчиков FreeBSD утверждает, что если информация о бэкдоре верна, то она затрагивает и ОС FreeBSD, поддержка IPSEC в которой была заимствована из OpenBSD. Большинство экспертов склоняются к мысли, что заявление является провокацией. Если все же информация подтвердится, то вероятно и в Linux следует искать бэкдор, так как код многих криптоподсистем данной ОС создан при непосредственном участии Агентства национальной безопасности США.

Дополнение 4: Фигурирующий в письме Скот Лоу (Scott Lowe) также отверг заявление об его сотрудничестве с ФБР, более того он отметил, что не написал ни одной строчки кода для OpenBSD, все его участие в проекте сводилось к продвижению решений на базе OpenBSD.

Дополнение 5: Лидер проекта OpenBSD Тэо де Раадт заявил, что компания NETSEC, вероятно, действительно имела контракт на внедрение бекдора, но код бэкдора, по его мнению, не попал в кодовую базу OpenBSD.

http://www.opennet.ru/opennews/art.shtml?num=28998