Neviditelný pes  |  Europe's  |  Zvířetník  |  Ekonomika  |  Věda  |  SciFi Pondělí 20.1.2003
Svátek má Ilona




  Výběr z vydání
 >POŽÁR: Černá sobota v hlavním městě Austrálie
 >IRÁK: Žádám válku do padesáti dnů!
 >TÉMA: Česká představa práva.
 >OHLAS: Den posvátnosti
 >RODINA A PŘÁTELÉ: Dvakrát do kina
 >PSÍ PŘÍHODY: Jako na potvoru
 >LIDŠTINY: Na posteli ke hvězdám.
 >ZE ŽIVOTA: Osudné poznamenání jménem
 >TÝDEN POD PSA: Co se semlelo, umlelo a podemlelo
 >SOFTWARE: Microsoft otvírá vládám zdrojové texty
 >MEJLEM: Klausův marš na Hrad za komunistických fanfár
 >GLOSA: Několik postřehů z televizních debat.
 >FEJETON: Pondělí
 >MEJLEM: Ohlasy a názory čtenářů
 >Telecom ohlásil svojí novou strategii – konečně bude naslouchat svým

 >>> HLAVNÍ STRÁNKA  >>  Společnost  
 
20.1. SOFTWARE: Microsoft otvírá vládám zdrojové texty
Vojtěch Kment

Dle agenturních zpráv (např. Reuters ) firma Microsoft v úterý oznámila , že poskytne vládním administrativám zdrojovou formu programů svých operačních systémů Windows 2000, Windows XP, Windows CE a připravovaného Windows Server 2003. Microsoft oznámil, že již uzavřel takové dohody s NATO a Ruskem, s dvaceti dalšími zeměmi vede rozhovory a dalších 60 má na seznamu zemí, jež se zabývají softwarem typu "open-source". Až dosud si Microsoft své zdrojové kódy pečlivě chránil jako intelektuální vlastnictví.

Komentáře tisku se různí. Na jedné straně poskytnutí kódu skutečně může napomoci vyšší bezpečnosti a ujištění o tom, že systémy neobsahují nějaká zadní vrátka, což zákazníky jako je třeba Čína může uklidnit. Kritici firmy ale zdůrazňují, že iniciativu nelze srovnávat s programy open-source, jež si může stáhnout a kontrolovat naprosto kdokoliv a měly by proto být více bezpečné. Open-source bývá navíc povoleno i modifikovat pro své vlastní potřeby. Další upozorňují, že výhoda open-source dále přetrvává v tom, že je (většinou nebo skoro) zdarma. Jiní zdůrazňují, že Microsoft se ke kroku odhodlal až v okamžiku, kdy řada vlád se použitím open-source technologií zcela vážně zabývá - např. loni v létě podepsala firma IBM dohodu s německou vládou o použití Linuxu v některých vládních agenturách. Peruánský poslanec Edgar Villanueva, jenž se světově proslavil propagací zákona o povinném používání open-source ve veřejné správě Peru, iniciativu zhodnotil, že se může jednat o marketingovou hru, a že uvěří až to skutečně uvidí.

---

Před 2,5 roky jsem v reakci na virus ILOVEYOU stanovil dvě principiální podmínky dosažení přiměřené bezpečnosti osobních počítačů:

  • digitální podepisování částí kódů se spouštěcími právy dle autora
  • otevřenost klíčových částí programů

První podmínku začal Microsoft naplňovat o pár měsíců později zavedením podepisování externích programových součástí OS - ovladačů zařízení. Stalo se to předmětem kontroverze z důvodů obav, že touto cestou chce získat hegemonii nad trhem periferií. Do roviny aplikací tento princip zatím dotažen nebyl. Druhou podmínku Microsoft začíná naplňovat až v současnosti, opět v poněkud omezenější podobě.

Zhodnoťme praktický přínos tohoto kroku. Zdrojové kódy Windows představují řádově desítky milionů řádek textu. Podobně je tomu ale i s Linuxem. Žádný běžný uživatel se nebude oběžovat se čtením takové literatury. V praxi open-source se ustálilo, že "bezpečnostní přečtení" vykoná některá důvěryhodná třetí strana, jež přehlédnuté zdrojové kódy elektronicky podepíše. Ideálně je výsledek poskytován formou některé "distribuce", přičemž přehlédnuté kódy jsou uživateli stále k dispozici ve zdrojové formě a uživatel si je může kdykoliv sám i zkompilovat. Otevřená vývojářská a uživatelská komunita zprostředkovává tvůrci distribuce (přehlížiteli) zpětnou vazbu o případně nalezených chybách, čímž se bezpečnostní díry rychle zacelují. Postup skýtá jasnou odpovědnost, nepodsunutelnost jiné kompilace než byla přehlédnuta, společnou verzi pro všechny a nejširší možnou kontrolní komunitu vůbec.

Vytvoření obdobně efektivního mechanismu na platformě "Government Security Program" je nejasné. Vzhledem k národní fragmentaci je oddělené zkoumání kódu vládami též poměrně neefektivní, protože vlády mezi sebou nebudou výsledky skoro jistě sdílet, naopak mohou zjištěné slabiny používat proti sobě. Malé státy (včetně ČR) mohou mít značné problémy se zajištěním dostatečných lidských i finančních zdrojů pro tuto činnost.

Oproti open-source zahrnuje GSP pouze možnosti kontroly kódů s pomocí zvláštních prohlížecích nástrojů, poskytnutí dodatečného know-how pro umožnění vlastních bezpečnostních dostaveb, konzultace s vývojáři a náhled do vnitřních procesů výrobce. Vše pouze pro vládní partnery.

Možnost vlastní kompilace v GSP není zmíněna. Teoreticky by Microsoft mohl vládám umožnit i změny a doplňování. Integritu výsledné kompilace by též bylo možné zajistit, ovšem je sporné, zda Windows kompilované třeba čínskou vládou by tamější uživatele právě uklidnilo. Totalitně orientované vlády by mohly zákony přikázat používat pouze sebou upravené verze a dostat tak komunikaci všech svých občanů zcela pod svou kontrolu. Paradoxně, právě současné prosazení a koexistence zavřeného kódu s otevřeným to vládám znemožňuje.

Odborně hodnoceno, Microsoft zřejmě otevírá design bezpečnostních součásti svých operačních systémů vládám v míře, která je v řadě současných zemí stejně nutná pro možnost získat bezpečnostní certifikáty, jež bývají pro některé účely předepsány zákony nebo jinými předpisy. Takové certifikáty mohou být například nutné pro to, aby počítač s daným OS bylo či nebylo možné považovat za bezpečný prostředek pro vytváření elektronických podpisů, nebo jej bylo možné použít pro různé bezpečnostně kritické funkce. Microsoft ve svém tiskovém prohlášení výslovně zmiňuje podporu certifikaci CCITSE organizace Common Criteria. Více detailů o GSP není veřejně k dispozici.

S uvážením další dřívejší iniciativy Microsoft Shared Source Initiative (SSI) , jež je dostupná i pro české subjekty, plyne, že Microsoft zřejmě hledá obchodně-vývojářský model, jenž by mu umožnil získat výhody vývoje s otevřeným kódem (jež jsou nejen bezpečnostní) při zachování strategické kontroly platformy vlastněním svých intelektuálních práv. Nabízené varianty modelů se nicméně aspoň prozatím významně liší od open-source licencí typu GPL, ale např. i od OpenBSD.

---

Autor je konzultant elektronického podpisu

www.vkc.cz




Další články tohoto autora:
Vojtěch Kment

Komentáře ke článku

Počet přístupů na stránku: