En numerosas ocasiones nos hemos hecho eco de las sofisticadas técnicas utilizadas por el FBI para identificar usuarios sospechosos o ciber-delincuentes por toda la red. Pero a veces no hace falta ser tan moderno, porque las herramientas más clásicas, unida a la confianza excesiva de algunos usuarios, pueden hacer perfectamente el trabajo. Es el caso de la Operación Torpedo, que fue llevada a cabo en el 2012 contra usuarios de varias webs de pornografía infantil alojadas en la Deep Web, y cuyos detalles se están conociendo ahora en los juicios.
|
etiquetas: adobe flash , metasploit , red tor , vigilancia 
Debes dejar el menor rastro posible. Si usas un navegador texto plano sin JS, perfecto.
Debes dejar el menor rastro posible. Si usas un navegador texto plano sin JS, perfecto.
Cualquier empresa o individuo estadounidense, y en otros países también debe ocurrir, puede ser coaccionado por el estado para hacer lo que indicas bajo amenaza de cárcel incluso si lo hablan con su propio abogado:
www.meneame.net/story/fundador-lavabit-habla-sobre-decision-cerrar-ser
www.meneame.net/story/marissa-mayer-no-cumplir-solicitudes-nsa-traicio
#5 Pero en una software open source no cuelan un exploit tan facilmente, no solo implica obligar a la empresa si no conseguir engañar a una comunidad de miles de programadores.
La práctica totalidad de los usuarios de software libre ejecutan versiones que no han compilado ellos mismos. Es trivial introducir una vulnerabilidad durante el proceso de compilado antes de publicarlo en la página web para que la gente lo descargue.
A ello hay que añadir el hecho que las compilaciones a binario que se hacen no son deterministicas, por lo que dos personas compilando el mismo código fuente pueden obtener binarios distintos, lo que complica detectar si el binario publicado en la web proviene efectivamente del código fuente publicado en ella.
En casos donde el ataque sea dirigido se puede redirigir a la víctima al binario con vulnerabilidades dejando para el resto del mundo la versión sin ellas, con lo cual la detección aún se complica más para esos casos. Por ejemplo EEUU podría obligar a quien compila el LibreOffice que para una empresa concreta o un país concreto publique una versión vulnerable, bajo amenaza de prisión por traición si habla siquiera de ello. Otra alternativa sería que desde la NSA instaran al operador de comunicaciones de LibreOffice a introducir ese binario vulnerable en la red de forma transparente para esos casos concretos. Incluso se puede proporcionar un código fuente modificado para ciertos clientes, a menos que ellos revisen todo el código no podrán saber que están siendo atacados.
¿Sin comprobar que el código que te has bajado es el original? ¿Con varias fuentes? ¿Con un hash SHA obtenido por un canal alternativo?
Y eso sin contar que si no haces lo anterior deberás revisar tú el código cada vez antes de compilar.
Ojo, que con el código fuente puedes hacerlo mientras que con el código propietario ni siquiera puedes, pero es un error asumir que por que puedas revisarlo ya sea seguro sin revisarlo.
Github es una empresa estadounidense, como tal está supeditada a la voluntad de ese gobierno y sus instituciones. Por ello si recibiera órdenes de proporcionarte a tí, o a tu país, una versión modificada del código fuente con vulnerabilidades incluidas no estarías recibiendo el código con el que trabajan los desarrolladores sino el código con la vulnerabilidad.
A su vez Github sin duda utiliza proveedores de comunicaciones estadounidenses y certificados digitales emitidos por empresas estadounidenses, lo cual permite a las instituciones de EEUU interceptar y suplantar las comunicaciones para añadir las vulnerabilidades en ese canal.
A todo ello detectar los usuarios que se conectan a la red Tor (que no lo que hacen dentro) es trivial desde los proveedores de comunicaciones, por lo que esos ataques pueden dirigirse a esas víctimas en concreto. Con ello se reduce la huella del ataque y dificulta que sea detectado.
Aunque si tú quieres seguir sintiéndote seguro eres libre de hacerlo. Siempre he creído que vivir engañado es la forma más sencilla de vivir feliz.
Pero el caso mayor lo tienes sobre la caza de otro de una tienda creo que era de drogas, iban detras de el, pero permanecia en el anonimato, y no lo dieron pillado hasta que utilizo el mismo email con su identididad anonima y no anonima.
Los que caen lo estan haciendo por fallos de ellos.
Otra cosa es que estas mezclando cosas, estamos hablando de anonimato si te tienen localizado o van a por ti conociendote no tienes nada que hacer, no hay que complicarse la vida tampoco van a la teleco y te plantan allí un sniffer, no tienen que modificar ningun codigo. Ese otro tema del que no viene a cuento.
Ahora puedes seguir dandole todas las vueltas, pero la realidad es la que comente antes, los que calleron fueron por errores evidentes y basicos.
Con este ultimo se temia que hubiera algun fallo en el protocolo o en la red, y se esta comprobando que no es así, TOR sigue siendo anonimo.
Y si les cuelan algo a todo el mundo esas cosas se nota.
cayeron.
Respecto al caso que comentas, el de la tienda Silkroad, precisamente durante el juicio el abogado de la defensa solicitó información sobre cómo el FBI consiguió identificar los servidores y a los supuestos operadores ya que sospechan se hizo de forma ilegal. La respuesta obtenida convenció a pocos.
o infectas a todo el mundo o te tienen que conocer.
Ninguna de las dos cosas les supondría ningún problema. No sería tampoco la primera vez.
pd: yo no suele ser taliban tampoco, pero ya puestos estar hablando de anonimato y mezclarlos con argumentos de rastreo/interceptación/caza de gente identificada para reafirma tus comentarios deja ver que no entiendies bien de lo que hablas al mezclar cosas totalmente diferentes. Sueltas teorias compiratorias por soltar sin ninguna base más que la de cambiar realmente de tema, que era el anonimato/tor.
Si para acceder a un sitio supuestamente seguro utilizas herramientas o canales de comunicación inseguros entonces esa seguridad se pone en entredicho. Y el anonimato requiere de seguridad, en caso contrario ese anonimato no se consigue.
Sueltas teorias compiratorias
¿De veras el caso de Lavabit es conspiratorio? ¿O las declaraciones del CEO de Yahoo?
Por cierto, no olvides borrar esos archivos usando un formato irreversible. Y si alguien llama a la puerta, puedes añadir un botón de autodestrucción por si acaso.
¿Que usuario de software libre se baja y ejecuta un programa del primer sitio que encuentra?.
Estas aplicando el comportamiento de usuarios de software privativo a usuarios de software libre.
En primer lugar están los repositorios, luego tienes los launchpad, source forge, git's etc...
En cualquiera de estos sitios (que sería la segunda fuente de búsqueda de programas) tienes el código fuente de la aplicación y su correspondiente md5 o sha.
Como digo aplicas el comportamiento de unos a los otros.
La mayoría de usuarios de software cerrado como Windows piratean el software. Como resultado de esto se tienen que bajar las aplicaciones de sitios que por definición no son seguros.
Luego tú aplicas la "lógica" de los unos a los otros y te quedas tan ancho.
Esto es lo que yo tengo instalado en mi ordenador de aplicaciones de las que o bien tienen licencia cerrada o bien no se dispone del código fuente:
Non-free packages installed on tesla
firmware-atheros Binary firmware for Atheros wireless cards
nikto web server security scanner
rar Archiver for .rar files
unrar Unarchiver for .rar files (non-free version)
4 non-free packages, 0.4% of 1128 installed packages.
Quizá si lees el resto de mis comentarios lo comprendas, pero a ver si esto te ayuda, esas webs que citas y esos binarios que citas, también el código fuente, está normalmente alojado en servicios bajo legislación estadounidense. No se trata de si son de confianza o no sino que el marco legislativo puede obligarlos a traicionar la confianza que puedas poner en ellos, por ley y bajo amenaza de cárcel si no se cumple con ello.
Creo que tienes una fe ciega en los proveedores de servicios que usas.
4 non-free packages, 0.4% of 1128 installed packages.
Genial, ¿cuantos de los paquetes que tienes instalados has compilado tú mismo tras revisar que el código fuente a compilar es el oficial y revisar que no contiene ninguna vulnerabilidad?
Entiendo que será inferior incluso a ese 0,4% que nos citas.
Tengo una fe ciega en las matemáticas. CRC y demás.
Dices "tambien el codigo fuente". ¿Que importa donde esté alojado el código fuente?, explícamelo.
En cuanto a lo de que la compilación no es deterministica... bueno para una distribución de linux dada y una arquitectura concreta es totalmente determinística ya que se utilizan las mismas librerias, compilador y enlazador.
En cuanto a lo de mis paquetes.
Primero uso repositorios finlandeses.
Segundo, falacia lógica tuya, no hace falta que yo mismo compruebe las vulnerabilidades de los mismos.
Para eso está el grupo de Debian Security, tienes los bugtraq, CERT, etc...
Espero que los CRC los recibas por un canal distinto por el que obtienes el código fuente y los binarios.
Dices "tambien el codigo fuente". ¿Que importa donde esté alojado el código fuente?, explícamelo.
Si revisas todas las líneas de código fuente antes de compilarlo no tiene ninguna importancia dónde esté alojado. Si por contra lo descargas y lo compilas sin revisarlo entonces sí debes hacerlo de una fuente de confianza, por un canal de confianza, en caso contrario puedes recibir un código fuente que contenga vulnerabilidades. Ya sea la versión que reciba todo el mundo o la que recibes específicamente tú.
bueno para una distribución de linux dada y una arquitectura concreta es totalmente determinística ya que se utilizan las mismas librerias, compilador y enlazador.
Eso no es cierto.
Cualquier variación en el sistema, hasta el más pequeño detalle en cuanto a cómo usa la coma flotante el procesador, alteran el binario final.
En el proyecto bitcoin, donde la seguridad del binario es crucial, ante ese problema decidieron crear un proyecto que permitiera crear binarios de forma deterministica. El sistema se basa en usar el emulador qemu que sí permite emular un hardware con unas características idénticas independientes del hardware y sistema operativo donde lo ejecutes (siempre que se comparta la configuración sobre el emulador).
En cuanto a lo de mis paquetes. Primero uso repositorios finlandeses.
Y tienes fe en ellos. Sé feliz.
Y tienes fe en que cuando descargas esos binarios la comunicación no sea interceptada y redirigida a un equipo intermedio que altere su contenido. Con empresas certificadoras estadounidenses, hardware cisco estadounidense como corazón de Internet, etc.
Segundo, falacia lógica tuya, no hace falta que yo mismo compruebe las vulnerabilidades de los mismos.
No hace falta que compruebes nada. Sé feliz.
Así que solo tienes que bajarte el paquete y comprobar la integridad de la firma, si quieres contra la firma de otro servidor.
Tendrías que comprometer el servidor central desde donde se abastecen el resto de mirrors. En cualquier caso tu conoces toda la seguridad que hay alrededor de la gestión de repositorios, las llaves de firmado de los desarrolladores, la gestión de la seguridad de los comits etc...
En el software libre hay muchos mecanismos de seguridad y muchos distintos niveles.
Así que volviendo al tema del meneo y desviandonos un poco del FUD:
¿Ya que ha sido el vector de intrusión, podrias decirme cual es la fuente de confianza para el plugin de flash?.
Espero ansioso tu respuesta.
No entiendo la pregunta. ¿Acaso has confundido mis comentarios con una defensa del plugin de flash? ¿?
Pero en una software open source no cuelan un exploit tan facilmente
Creo que el comentario es 100% correcto y refleja de donde viene el problema.
Comparto contigo que no hay seguridad al 100% en nada. Nadie dice lo contrario.
Pero si el software libre es seguro al 99%, el software del que no se dispone del código fuente es seguro al 0%.
De repente por tus comentarios ha parecido que el problema de seguridad en general y de este caso en particular viniese por la inseguridad del open source.
Así pues intento reconducir un poco el tema.
El problema ha sido el plugin de flash:
www.cvedetails.com/vulnerability-list/vendor_id-53/product_id-6761/Ado
Como estás argumentando sobre los posibles problemas de seguridad a los que se enfrenta el usuario de software abierto y veo que conoces el tema, para poner en contexto la seguridad del open source y la del closed source, me gustaría que me dijeses cual es una fuente de confianza para bajar el plugin de flash.
Creo que es una petición lógica y simple.
Si hubieras leído mis comentarios con más atención no te hubieras equivocado interpretando mensajes supuestamente subliminales que no estaban ahí.
Por ejemplo, de #9: Ojo, que con el código fuente puedes hacerlo mientras que con el código propietario ni siquiera puedes, pero es un error asumir que por que puedas revisarlo ya sea seguro sin revisarlo.
para poner en contexto la seguridad del open source y la del closed source, me gustaría que me dijeses cual es una fuente de confianza para bajar el plugin de flash.
Cualquiera que haya leído mis comentarios sin ningún tipo de sesgo sabrá leer en ellos sin ningún problema mi respuesta implícita a tu pregunta.
Mis primeras palabras en este hilo: Cualquier empresa o individuo estadounidense, y en otros países también debe ocurrir, puede ser coaccionado por el estado para hacer lo que indicas bajo amenaza de cárcel incluso si lo hablan con su propio abogado
El pluguin de flash, tal como todo el mundo sabe, es un programa de código cerrado de la empresa estadounidense Adobe.
Lo que tú necesitas en realidad es que yo me rebaje a hacer una afirmación de perogrullo respecto al software de código propietario para que así alguien pueda interpretar que tienes razón en otras cuestiones como la seguridad de los binarios que se distribuyen de forma centralizada en el ámbito de software libre. Que recordemos es el método más habitual de distribución de software para el gran público e incluso para los técnicos especializados y conocedores de la materia.
Creo que es una petición lógica y simple.
Si quieres desviar la atención e irte por las ramas sí, claro que sí.
Será una pregunta de preogrullo pero veo que te cuesta mucho contestarla. Ya la contesto yo por tí.
No existe ninguna fuente de confianza de la que bajarse un programa de código propietario. Cero.
Si no se tiene el código fuente de los programas que se ejecutan, cualquier otra medida de seguridad es inutil.
No existe ningún un sitio seguro para bajarse el plugin de Flash, el Photoshop, el propio Windows, etc... ni aunque lo compres.
Los programas propietarios tienen absolutamente todos y cada uno de los problemas de seguridad de cualquier programa de codigo abierto (y algunos más que no existen en el open source) y ninguna de las ventajas. A lo que hay que sumar además que al no disponer del código fuente podemos presuponer que el 100% de los programas propietarios nos espian y no hay forma de demostrar lo contrario.
En cuanto a lo de los binarios que comentas: "para que así alguien pueda interpretar que tienes razón en otras cuestiones como la seguridad de los binarios que se distribuyen de forma centralizada en el ámbito de software libre.", como he indicado también se aplica al código propietario.
Resumiendo el software libre no es seguro al 100% aunque hay pasos que el usuario puede dar para que lo sea. El software propietario es inseguro al 100% y no hay nada que el usuario pueda hacer al respecto aparte de dejar de usarlo.
Ojo, que con el código fuente puedes hacerlo mientras que con el código propietario ni siquiera puedes, pero es un error asumir que por que puedas revisarlo ya sea seguro sin revisarlo.
En fin, que necesitabas tener razón en algo y no has parado hasta que te has inventado un argumento para poder rebatirlo.
Para ese viaje no hacían falta estas alforjas.
En ninguno de mis comentarios, en ninguno de mis comentarios, en ninguno de mis comentarios, en ninguno de mis comentarios he dicho en ningún momento que el software propietario sea más seguro que el software libre. En ninguno. En ninguno.
Dicho esto, y asumiendo que es de cajón y de perogrullo y que por lo tanto yo al menos no necesito repetirlo en todos los comentarios, he argumentado más allá y he explicado que la seguridad únicamente se obtiene con unas buenas prácticas y siendo consciente de los distintos riesgos, que son muchos.
Y que es tal la complejidad al respecto y los distintos escollos a superar y los puntos débiles de la cadena que el hecho que sea software de código abierto no es en sí mismo una característica suficiente por sí sola como para considerarlo seguro.
Siento que eso te haya molestado.
Lo que ocurre es que llevo ya muchos años bregando en internet y el detector de FUD lo tengo muy sensible.
Se me dispara en cuanto veo que alquien solo cuenta una parte de la historia (Open source) y no la otra (closed source).
Si alquien cuenta solo una parte (por que la otra es de "perogrullo") me veo en la obligación de contar yo la otra parte, no vaya a ser que alguien con menos conocimientos se lleve una idea equivocada por solo escuchar la mitad de la historia.
Y como parece que a tí siempre te gusta más contar solo una parte de la historia y no la otra...
Ej:
www.meneame.net/story/adobe-flash-metasploit-asi-identifico-fbi-usuari
Github es una empresa estadounidense, como tal está supeditada a la voluntad de ese gobierno y sus instituciones. Por ello si recibiera órdenes de proporcionarte a tí, o a tu país, una versión modificada del código fuente con vulnerabilidades incluidas no estarías recibiendo el código con el que trabajan los desarrolladores sino el código con la vulnerabilidad.
www.meneame.net/notame/sorrillo/838139
Linux es una ayuda pero si esto empieza a hacerse popular yo no me fiaría únicamente de eso. Un troyano que afecte a datos de usuario, sin permisos de root, es casi tan sencillo en Windows como en Linux. Y habiendo dinero de por medio es muy jugoso.
www.meneame.net/story/dni-e-trojan-kit-1/c09#c-9
Equipos desactualizados los hay para dar y tomar para todos los sistemas operativos. ¿Tienes estadísticas que demuestren que porcentualmente hay más equipos linux actualizados que de otro sistema?
www.meneame.net/story/linus-torvalds-admite-contactos-nsa-pedirle-puer
#42 #38 ¿Ese proceso de compilado es deterministico? ¿El resultado final que se consigue es idéntico, bit a bit, a la versión distribuida en forma de binario?
Si no es así los problemas que he citado anteriormente siguen vigentes.
www.meneame.net/c/13554405
#15 #14 Eso no te asegura que el kernel precompilado, que es el que usa la mayoría de gente, no incluya código malicioso.
Para llegar a esa conclusión el compilado debe ser determinístico creando paquetes idénticos bit a bit, sólo de esa forma puedes confirmar que el binario entregado es idéntico al que tú puedes compilar por ti mismo y del que tienes el código fuente.
Sobre unrar, instala unar, es libre 100% y funciona igual.
Entonces entiendo que te alegrarás de ver que suelo responder a aquellos que únicamente cuentan una parte de la historia tal como ejemplificas bien en los comentarios que acabas de citar.
Si no me ves soltando el discurso típico sobre lo mas buen bonito superguachi que es el software libre es por que ya tenemos suficiente gente haciendo lo propio por aquí. Yo intento ir un poco más allá y concienciar a la gente que más importante que la herramienta es saber usarla, que más importante que algo seguro es conocer su nivel de seguridad y actuar en consecuencia.
Aunque ciertamente no sois pocos los que al escuchar ese tipo de discurso queréis leer entre líneas una defensa de lo opuesto, siendo consciente de ello por eso mismo añado referencias explícitas como las que puse en #5 o #9 pero parece que ni con esas.
#33 MD5sum, sha1sum, firmas.
Lo normal es descargar esas firmas desde el mismo servidor. Con lo que te permite detectar fallos de transmisión o archivos corruptos pero no sirve como medida de seguridad.
#34 No tienes ni idea de lo que hablas. Git puede comparar cambios locales y remotos.
Reléete el resto de comentarios y verás que tu respuesta no aplica.
#35 Con OpenBSD si, y con las firmas GPG te puedes asegurar que quien te entrega los paquetes es quien es.
Depende de cómo y por donde hayas recibido esas firmas GPG.
MD5sum, sha1sum, firmas.
Y si eres paranoico, usa OpenBSD.
No tienes ni idea de lo que hablas. Git puede comparar cambios locales y remotos.
Los desarrolladores tienen copias locales para verificar tal cosa.
Que Git fué diseñado expresamente para vigilar CAMBIOS en el código, cojona. Es un sistema de control de versiones, ¿te crees que no pueden vigilar eso y más?
No me refería específicamente al sector especializado de los desarrolladores de software, el contexto de este hilo aplica al conjunto de los usuarios. Incluyendo aquellos que van a la web de Github y descargan el código para compilarlo y sentirse seguros con el resultado.
Hay gente que envía fallos y demás, y si algo no concuerda...
A lo que hay que añadir que si la versión compilada por parte de los desarrolladores es publicada mediante un servicio web hospedado en una empresa estadounidense o que haga uso de un operador de comunicaciones estadounidense o que pase por algún punto donde existan equipos controlados por los estadounidenses y alguno de ellos recibe instrucciones explícitas de la NSA para colaborar con ellos para ...
Tienes mecanismos para comprobar 2 "clones" de repositorios y mucho más.
Y GIT puede usarse con cifrado y GPG.
Git NO es de Github.
Es obvio que si descargas el código fuente de un repositorio git y lo compruebas con varios clones y revisas las firmas digitales obtenidas por canales alternativos y únicamente utilizas software cuyo código ha sido auditado explícitamente por organizaciones de confianza y ... pues llegarás a un nivel de seguridad muy alto y no tendrás problemas con malware.
El gran público no hará todo eso, el gran público no hará nada de eso.
Package: unrar
Source: unrar-nonfree
Tu quieres decir unrar-free
noscript.net/
Es sorprendente la cantidad de servicios que usan las webs modernas para hacer exhaustivos perfiles de lo que leo, como muevo el ratón, lo que compro, las publicidades que miro y las que ignoro...
Una vez ese proceso ha terminado, cualquier pequeño bit que añadas al código hace que el hash sea diferente, por lo tanto el ejecutable ha sido cambiado y no es confiable. Todo esto ya lo sabes de sobra, así que no te estoy diciendo nada nuevo. Se lleva haciendo así en todos los repositorios de software libre y distribuciones de sistemas operativos de código abierto desde hace décadas, mucho antes de las "ciberguerras" y demás.
Por eso, da igual que la práctica totalidad de usuarios de software libre se instalen cosas que no han compilado ellos a mano. Si "alguien" cambia el ejecutable, es:
- A través de una intrusión en los servidores de repositorios: esto ha pasado ya varias veces y el ataque se ha detectado inmediatamente en repositorios de Debian, Gentoo, etc. etc., siendo denunciado, investigado y subsanado y los usuarios advertidos de que el paquete X de los 15.000 paquetes de Debian había sido cambiado por uno "extraño".
- A través de un desarrollador corrupto que ha sido comprado por alguna agencia de inteligencia, gobierno o empresa para meter malware en algún programa famoso. Este desarrollador corre el riesgo de ser detectado por compañeros en revisiones de código o comparaciones de hash entre ficheros que se supone que todos tienen y deberían ser similares. Creo que también se ha dado algún caso, aunque ahora no voy ni a buscarlo, pero me suena haber oído alguna historia similar hace tiempo.
Y ya está. Nada de "intercepciones de ficheros" o "binarios hackeados en la web oficial que no se corresponden con el código" o "gente que se baja el código cambiado y lo compila sin saber". ¿De dónde se lo van a bajar? Si no te vas a una web dañina y falsa donde alojen una copia del código de algún software libre que haya sido modificada... y para qué te vas a ir a esa web si ya lo tienes gratis en el sitio original y oficial para poder descargártelo...
Por tanto, antes que creerme historias de terror de versiones de Firefox o de IPtables cambiadas sin que ni cristo de los que están en el repositorio se dé cuenta...
- ...al… » ver todo el comentario
Según Edward Snowden: The very feature that makes Tor a powerful anonymity service, and the fact that all Tor users look alike on the Internet, makes it easy to differentiate Tor users from other web users. On the other hand, the anonymity provided by Tor makes it impossible for the NSA to know who the user is, or whether or not the user is in the US.
After identifying an individual Tor user on the Internet, the NSA uses its network of secret Internet servers to redirect those users to another set of secret Internet servers, with the codename FoxAcid, to infect the user's computer. FoxAcid is an NSA system designed to act as a matchmaker between potential targets and attacks developed by the NSA, giving the agency opportunity to launch prepared attacks against their systems.
Once the computer is successfully attacked, it secretly calls back to a FoxAcid server, which then performs additional attacks on the target computer to ensure that it remains compromised long-term, and continues to provide eavesdropping information back to the NSA.
Fuente: www.schneier.com/blog/archives/2013/10/how_the_nsa_att.html
Lo que describe no es exactamente lo que hablábamos pero obviamente si tienes el control de las comunicaciones de la víctima es trivial sustituir cualquier descarga que haga por una versión con vulnerabilidades. Tanto en software de código propietario como libre.
Por cierto, para los navegantes de TOR, en la barra de direcciones escribís "about:config", aceptáis si es la primera vez, en el recuadro escribís "network.http.sendRefererHeader" y cambiáis el valor de "0" por el valor de "2"
Lo que hace es evitar que las páginas web que visitáis rastreen de dónde otro sitio venís, viene bien si queréis tener un extra de anonimidad.
Anyway...
Lo que describe no es exactamente lo que hablábamos
Eso
pero obviamente si tienes el control de las comunicaciones de la víctima es trivial sustituir cualquier descarga que haga por una versión con vulnerabilidades.
Sep, pero el rollo es la parrafada que yo soltaba antes: tú llegas a una web que se supone que es fiable (si no lo es, el servidor está bajo ataque y los responsables intentan solucionarlo y avisan a los navegantes) donde hay unos ejecutables y el hash, que ha sido calculado por el responsable que colgó los ficheros. Te descargas eso y pongamos que el que controla tus comunicaciones te desvía la descarga a otro sitio. Pues tan fácil como comprobar el hash para saber si el fichero que te has descargado es el auténtico o no lo es.
Al final pasa lo que pasa, que esos ataques de sustituir programas por otros, corromper archivos, hackear servidores... son demasiado complicados. Mucho mejor putear con scripts y morralla de la que abunda hoy en día en la web y que no está comprobada por nadie ni registrada en ningún sitio ni necesita permisos explícitos del usuario ni instalaciones.
Otra cosa es que estés conectado a una red dentro de la red, como es Tor, y que la NSA ponga servidores falsos que te redirijan. También mucho más facil que intentar engañar a administradores de sistemas y desarrolladores.
Primero introduje la puerta trasera en el código, pero cualquiera que viera el código se daría cuenta, así que hice que el compilador introdujera la puerta trasera pero cualquiera que viera el código del compilador se daría cuenta, así que hice un compilador que detectaba cuando se estaba compilando un compilador para introducir la modificación que introduciría la puerta trasera.
Si fueras paranoico ensamblarías tus propios programas.,. línea a línea
Claro que da igual si como dices el compilador detecta el compilador y mete el codigo en el compilador, pero no solo el codigo para crear la puerta trasera tendria que meter tambien el codigo para que detecte tambien la compilación del nuevo compilador.
Y todo eso en memoria por que si lo haces en disco cantaria las modificaciones de los archivos.
Si nos ponemos extremos si