फ्रीबीएसडी 13 जवळजवळ परवान्याचे उल्लंघन आणि असुरक्षिततेसह वायरगार्डच्या हॅकी अंमलबजावणीसह समाप्त झाले.

ज्या कोड बेसवर फ्रीबीएसडी 13 रिलीझ तयार केले गेले होते, त्या कोड बेसवरून, वायरगार्ड व्हीपीएन प्रोटोकॉलची अंमलबजावणी करणारा कोड, मूळ वायरगार्डच्या विकसकांशी सल्लामसलत न करता नेटगेटच्या आदेशानुसार विकसित केला गेला आणि pfSense वितरणाच्या स्थिर प्रकाशनांमध्ये आधीच समाविष्ट केला गेला. काढले. मूळ वायरगार्डचे लेखक जेसन ए. डोनेनफेल्ड यांनी कोड रिव्ह्यू केल्यानंतर असे दिसून आले की फ्रीबीएसडीने वायरगार्डची प्रस्तावित केलेली अंमलबजावणी हा एक निकृष्ट कोडचा तुकडा होता, जो बफर ओव्हरफ्लो आणि GPL चे उल्लंघन करत होता.

अंमलबजावणीमध्ये क्रिप्टोग्राफी कोडमध्ये आपत्तीजनक त्रुटी होत्या, वायरगार्ड प्रोटोकॉलचा काही भाग वगळण्यात आला होता, अशा त्रुटी होत्या ज्यामुळे कर्नल क्रॅश झाला आणि सुरक्षा पद्धती बायपास केल्या गेल्या आणि इनपुट डेटासाठी निश्चित-आकाराचे बफर वापरले गेले. नेहमी “ट्रू” परत करणाऱ्या चेकऐवजी स्टब्सची उपस्थिती, तसेच एन्क्रिप्शनसाठी वापरल्या जाणार्‍या पॅरामीटर्सच्या आउटपुटसह विसरलेले डीबगिंग प्रिंटएफ आणि शर्यतीच्या परिस्थिती टाळण्यासाठी स्लीप फंक्शनचा वापर कोडच्या गुणवत्तेबद्दल बरेच काही सांगते.

कोडचे काही भाग, जसे की crypto_xor फंक्शन, GPL परवान्याचे उल्लंघन करून, Linux साठी विकसित केलेल्या WireGuard अंमलबजावणीमधून पोर्ट केले गेले. परिणामी, काइल इव्हान्स आणि मॅट डनवुडी (ओपनबीएसडीसाठी वायरगार्ड पोर्टचे लेखक) यांच्यासमवेत जेसन डोनेनफिल्डने समस्याग्रस्त अंमलबजावणीची पुनर्रचना करण्याचे काम हाती घेतले आणि एका आठवड्याच्या आत, नेटगेटने नियुक्त केलेल्या विकासकाचे सर्व कोड पूर्णपणे बदलले. . सुधारित आवृत्ती पॅचेसचा एक वेगळा संच म्हणून प्रसिद्ध केली गेली, ती वायरगार्ड प्रकल्प भांडारात ठेवली गेली आणि अद्याप फ्रीबीएसडीमध्ये समाविष्ट केलेली नाही.

विशेष म्हणजे, सुरुवातीला अडचणीची कोणतीही चिन्हे नव्हती; नेटगेट, ज्याला पीएफसेन्स वितरणात वायरगार्ड वापरता यायचे होते, त्यांनी मॅथ्यू मॅसीला नियुक्त केले, जो फ्रीबीएसडी कर्नल आणि नेटवर्क स्टॅकमध्ये पारंगत आहे, दोष निराकरणात गुंतलेला आहे आणि त्याला विकसित करण्याचा अनुभव आहे. या ऑपरेटिंग सिस्टमसाठी नेटवर्क ड्रायव्हर्स. मॅसीला एक लवचिक शेड्यूल देण्यात आले होते ज्यात कोणतीही अंतिम मुदत किंवा मध्यावधी तपासणी नाही. फ्रीबीएसडीवर काम करत असताना मॅसीला भेटलेल्या डेव्हलपर्सनी त्याला एक प्रतिभावान आणि व्यावसायिक प्रोग्रामर म्हणून वर्णन केले ज्याने इतरांपेक्षा जास्त चुका केल्या नाहीत आणि टीकेला पुरेसा प्रतिसाद दिला. फ्रीबीएसडीसाठी वायरगार्ड अंमलबजावणी कोडची खराब गुणवत्ता त्यांच्यासाठी आश्चर्यचकित झाली.

9 महिन्यांच्या कामानंतर, मॅसीने HEAD शाखेत त्याची अंमलबजावणी जोडली, ज्याचा उपयोग फ्रीबीएसडी 13 रिलीझ तयार करण्यासाठी केला गेला, गेल्या डिसेंबरमध्ये पीअर रिव्ह्यू आणि चाचणी पूर्ण न करता. विकास मूळ वायरगार्डच्या डेव्हलपर्सशी संवाद साधल्याशिवाय केला गेला. OpenBSD आणि NetBSD पोर्ट. फेब्रुवारीमध्ये, Netgate ने WireGuard ला pfSense 2.5.0 च्या स्थिर प्रकाशनात समाकलित केले आणि त्यावर आधारित फायरवॉल पाठवण्यास सुरुवात केली. समस्या ओळखल्यानंतर, वायरगार्ड कोड pfSense वरून काढला गेला.

जोडलेल्या कोडने 0-दिवसांच्या शोषणांमध्ये वापरल्या जाणार्‍या गंभीर असुरक्षा प्रकट केल्या, परंतु प्रथम नेटगेटने असुरक्षा अस्तित्वाची कबुली दिली नाही आणि मूळ वायरगार्डच्या विकसकावर हल्ले आणि पक्षपात केल्याचा आरोप करण्याचा प्रयत्न केला, ज्यामुळे त्याच्या प्रतिष्ठेवर नकारात्मक परिणाम झाला. पोर्ट डेव्हलपरने सुरुवातीला कोडच्या गुणवत्तेबद्दलचे दावे नाकारले आणि त्यांना अतिशयोक्तीपूर्ण मानले, परंतु त्रुटी दर्शविल्यानंतर, त्याने या वस्तुस्थितीकडे लक्ष वेधले की खरोखर महत्त्वाची समस्या म्हणजे FreeBSD मधील कोड गुणवत्तेचे योग्य पुनरावलोकन नसणे, कारण अनेक महिने समस्या सापडल्या नाहीत. (नेटगेट प्रतिनिधींनी सूचित केले की सार्वजनिक पुनरावलोकन ऑगस्ट 2020 मध्ये पुन्हा सुरू केले गेले, परंतु वैयक्तिक FreeBSD विकासकांनी नोंदवले की फॅब्रिकेटरमध्ये मॅसीने पुनरावलोकन पूर्ण न करता आणि टिप्पण्यांकडे दुर्लक्ष करून बंद केले होते). फ्रीबीएसडी कोअर टीमने त्यांच्या कोड पुनरावलोकन प्रक्रियेचे आधुनिकीकरण करण्याचे आश्वासन देऊन या घटनेला प्रतिसाद दिला.

समस्याग्रस्त फ्रीबीएसडी पोर्टचे डेव्हलपर मॅथ्यू मॅसी यांनी परिस्थितीवर भाष्य केले की त्यांनी प्रकल्पाची अंमलबजावणी करण्यास तयार न होता नोकरी स्वीकारून मोठी चूक केली. मेसी भावनिक बर्नआउटमुळे परिणामी परिणाम आणि पोस्ट-कोविड सिंड्रोममुळे उद्भवलेल्या समस्यांचे परिणाम स्पष्ट करतात. त्याच वेळी, मॅसीने आधीच हाती घेतलेल्या जबाबदाऱ्या सोडून देण्याचा निर्धार दिसला नाही आणि प्रकल्प पूर्णत्वास नेण्याचा प्रयत्न केला.

स्वेच्छेने बाहेर पडण्यास तयार नसलेल्या भाडेकरूंना त्याने खरेदी केलेल्या घरातून बेकायदेशीरपणे बाहेर काढण्याचा प्रयत्न केल्याबद्दल त्याला नुकत्याच झालेल्या तुरुंगवासाच्या शिक्षेमुळे देखील मॅसीच्या स्थितीवर परिणाम झाला असावा. त्याऐवजी, त्याने आणि त्याच्या पत्नीने मजल्यावरील बीम खाली केले आणि घर निर्जन करण्यासाठी मजल्यांमध्ये छिद्र पाडले, तसेच रहिवाशांना धमकावण्याचा प्रयत्न केला, ताब्यात घेतलेल्या अपार्टमेंटमध्ये प्रवेश केला आणि त्यांचे सामान बाहेर काढले (कृती घरफोडी म्हणून वर्गीकृत करण्यात आली होती). त्याच्या कृतीची जबाबदारी टाळण्यासाठी, मेसी आणि त्याची पत्नी इटलीला पळून गेले, परंतु त्यांना युनायटेड स्टेट्समध्ये प्रत्यार्पण करण्यात आले आणि त्यांना चार वर्षांपेक्षा जास्त काळ तुरुंगवास भोगावा लागला.

स्त्रोत: opennet.ru