FreeBSD 13 लगभग लाइसेन्स उल्लङ्घन र कमजोरीहरु संग WireGuard को एक ह्याकी कार्यान्वयन संग समाप्त भयो।

FreeBSD 13 रिलीजमा आधारित कोड आधारबाट, WireGuard VPN प्रोटोकलको कार्यान्वयनको साथ कोड, मूल WireGuard को विकासकर्ताहरूसँग परामर्श बिना नेटगेटको आदेशद्वारा विकसित गरिएको, र पहिले नै pfSense वितरणको स्थिर रिलीजहरूमा समावेश गरिएको छ, एक घोटाला संग हटाइयो। मूल WireGuard को लेखक जेसन A. Donenfeld द्वारा कोडको समीक्षा गरेपछि, यो बाहिरियो कि WireGuard को प्रस्तावित FreeBSD कार्यान्वयन कम-ग्रेड कोड को एक टुक्रा थियो जुन बफर ओभरफ्लो र GPL लाइसेन्स उल्लङ्घन थियो।

कार्यान्वयनमा क्रिप्टोग्राफी कोडमा विनाशकारी त्रुटिहरू फेला परे, WireGuard प्रोटोकलको अंश हटाइयो, त्यहाँ त्रुटिहरू थिए जसले कर्नेलको क्र्यास र सुरक्षा विधिहरूको बाइपास निम्त्यायो, इनपुट डेटाको लागि निश्चित-आकार बफरहरू प्रयोग गरियो। कोडको गुणस्तरको बारेमा धेरै कुरा भनेको जाँचको सट्टा स्टबहरूको उपस्थिति हो जसले सधैं "सत्य" मान फर्काउँछ, साथै एन्क्रिप्शनका लागि प्रयोग गरिएका प्यारामिटरहरूको आउटपुटको साथ बिर्सिएको डिबग प्रिन्टएफहरू, र दौड रोक्नको लागि निद्रा प्रकार्यको प्रयोग। सर्तहरू।

कोडका केही भागहरू, जस्तै crypto_xor प्रकार्य, GPL को उल्लङ्घनमा WireGuard को Linux कार्यान्वयनबाट पोर्ट गरिएको छ। नतिजाको रूपमा, जेसन डोनेनफिल्ड, काइल इभान्स र म्याट डनवुडी (ओपनबीएसडीका लागि वायरगार्ड पोर्टका लेखक) सँगसँगै समस्याग्रस्त कार्यान्वयनलाई पुन: कार्य गर्ने बारे सेट गरियो र एक हप्तामा नेटगेटद्वारा भाडामा लिएको विकासकर्ताको सबै कोड पूर्ण रूपमा प्रतिस्थापन गरियो। पुन: कार्य गरिएको संस्करणलाई प्याचहरूको छुट्टै सेटको रूपमा जारी गरिएको थियो, WireGuard परियोजना भण्डारमा राखिएको थियो र अझै सम्म FreeBSD मा समावेश गरिएको छैन।

चाखलाग्दो कुरा के छ भने, प्रारम्भिक रूपमा कुनै पनि समस्यामा परेन, नेटगेट, जसले pfSense वितरणमा WireGuard प्रयोग गर्न सक्षम हुन चाहन्थे, म्याथ्यू मेसीलाई काममा लिए, जो FreeBSD कर्नेल र नेटवर्किङ स्ट्याकमा राम्रोसँग जानकार छन्, बग फिक्सिङमा संलग्न छन् र नेटवर्क ड्राइभरहरू विकास गर्ने अनुभव छ। यो अपरेटिङ सिस्टम। मेसीलाई कुनै समयसीमा वा मध्यवर्ती जाँचहरू बिना नि: शुल्क तालिका दिइएको थियो। FreeBSD मा काम गर्दा मेसीसँग मार्गहरू पार गर्ने विकासकर्ताहरूले उहाँलाई एक प्रतिभाशाली र पेशेवर प्रोग्रामरको रूपमा चित्रण गरे, अरूहरू भन्दा बढी गल्ती नगर्ने र आलोचनालाई पर्याप्त रूपमा जवाफ दिए। WireGuard को FreeBSD कार्यान्वयनको दयनीय कोड गुणस्तरले उनीहरूलाई आश्चर्यचकित तुल्यायो।

गत डिसेम्बरको 9 महिनाको काम पछि, मेसीले कुनै पनि सहकर्मी समीक्षा वा परीक्षण पूरा नगरी, FreeBSD 13 रिलीजलाई आकार दिन प्रयोग गरिएको HEAD शाखामा आफ्नो कार्यान्वयन थप्यो। फेब्रुअरीमा, नेटगेटले WireGuard लाई pfSense 2.5.0 को स्थिर रिलीजमा एकीकृत गर्यो र यसको आधारमा तारगार्डहरू पठाउन थाल्यो। समस्याहरू पहिचान भएपछि, WireGuard कोड pfSense बाट हटाइयो।

थपिएको कोडमा आलोचनात्मक कमजोरीहरू पहिचान गरिएको थियो, जुन 0-दिनको शोषणमा प्रयोग गरिएको थियो, तर नेटगेटले सुरुमा कमजोरीहरूको अस्तित्व पहिचान गरेन र विकासकर्तालाई आक्रमण र पूर्वाग्रहको आरोप लगाउन खोज्यो, जसले यसको प्रतिष्ठालाई नकारात्मक रूपमा असर गर्यो। पोर्टको विकासकर्ताले सुरुमा कोडको गुणस्तरको दावीलाई अतिरंजितको रूपमा खारेज गर्यो, तर बगहरू देखाएपछि, उनले याद गरे कि वास्तवमै महत्त्वपूर्ण समस्या FreeBSD मा कोड गुणस्तरको उचित समीक्षाको अभाव थियो, किनभने समस्याहरू धेरै महिनासम्म ध्यान नदिइए (Netgate) प्रतिनिधिहरूले सार्वजनिक रूपमा समीक्षा अगस्त 2020 को रूपमा सुरु भएको संकेत गरे, तर व्यक्तिगत FreeBSD विकासकर्ताहरूले टिप्पणी गरे कि Phabricator मा, समीक्षालाई कुनै कार्यान्वयन र बेवास्ता टिप्पणीहरू बिना मेसी द्वारा बन्द गरिएको थियो)। FreeBSD कोर टोलीले उनीहरूको कोड समीक्षा प्रक्रियालाई आधुनिकीकरण गर्ने वाचाको साथ घटनालाई प्रतिक्रिया दियो।

फ्रीबीएसडीका लागि समस्याग्रस्त पोर्टका विकासकर्ता म्याथ्यू मेसीले टिप्पणी गरे कि उनले यो परियोजना कार्यान्वयन गर्न तयार नभएको काममा लिएर ठूलो गल्ती गरे। मेसीले भावनात्मक बर्नआउटको साथ नतिजा र पोस्ट-COVID सिन्ड्रोमको कारण उत्पन्न भएका समस्याहरूको नतिजा बताउँछन्। एकै समयमा, मेसीले पहिले नै लिइएका दायित्वहरू त्याग्न दृढ संकल्प पाएनन् र परियोजनालाई अन्त्यमा ल्याउने प्रयास गरे।

मेसीको अवस्था हालैको जेल सजायले पनि प्रभावित भएको हुन सक्छ, जुन उनले स्वेच्छिक रूपमा बाहिर जान नचाहेको घरबाट भाडामा लिनेहरूलाई बाहिर निकाल्ने प्रयासमा अवैध कार्यको लागि प्राप्त गरे। बरु, आफ्नी श्रीमतीसँग, तिनीहरूले भुइँको बीमहरू हेरे र घरलाई बस्न नसक्ने बनाउन भुइँमा प्वालहरू भत्काइदिए, र भाडामा लिनेहरूलाई धम्की दिने प्रयास गरे, बसोबास भएको अपार्टमेन्टमा छिरेर सामानहरू बाहिर निकाले (कारबाही चोरीको रूपमा योग्य थियो)। । आफ्नो कार्यको जिम्मेवारीबाट बच्नको लागि, मेसी आफ्नी पत्नीसँग इटाली भागे, तर संयुक्त राज्य अमेरिकामा सुपुर्दगी गरियो र चार वर्ष भन्दा बढी जेलमा सेवा गरे।

स्रोत: opennet.ru