Rechter laat FBI onbekend Firefox-lek geheimhouden
De FBI hoeft een onbekend beveiligingslek in Firefox niet aan opensource-ontwikkelaar Mozilla te openbaren, zo heeft een Amerikaanse rechter geoordeeld. Mozilla had de rechter een brief gestuurd waarin het de FBI opriep om details over de kwetsbaarheid te delen.
Aanleiding is een zaak waarbij de FBI naar verluidt een beveiligingslek in Tor Browser gebruikte om Tor-gebruikers te identificeren. Tor Browser is grotendeels op Mozilla Firefox gebaseerd en laat gebruikers verbinding met het Tor-netwerk maken. Bij een operatie tegen bezoekers van een kinderpornosite zou de FBI een kwetsbaarheid in Tor Browser hebben gebruikt om de identiteit van bepaalde Tor-gebruikers te achterhalen.
Volgens Mozilla is het in het belang van de veiligheid van Firefoxgebruikers dat de kwetsbaarheid wordt opgelost. Het Amerikaanse ministerie van Justitie liet de rechter echter weten dat het de details vanwege de staatsveiligheid niet wil openbaren. De rechter stelt dat de zorgen van Mozilla in de Verenigde Staten moeten worden behandeld en geen onderdeel van de lopende rechtszaak zouden moeten uitmaken. Daarom is het verzoek van de opensource-ontwikkelaar verworpen, zo blijkt uit een reactie (pdf) waar The Hill over beschikt.
Achtelijke Amerikanen... maarja logisch wanneer je bedenk dat de USA een van de grootste cyberbullies is.
Lekkere responsible disclosure op deze manier. Hopelijk laten ze het bij Mozilla er niet bij zitten.
Een voordeel van OpenSource is zeker, dat hackers / security bedrijven, niet hoeven te hacken om toegang te krijgen tot de source code. Immers de code is al toegankelijk voor iedereen.
Ze hebben zich de gegevens toegeëigend op een niet-wettelijke manier, en zeggen nu alleen "Oh, ja, via een geheim lek in Firefox welke we met niemand gaan delen".
Dat is ook een manier van de wet omzeilen. Als dit wordt toegelaten kunnen ze in de toekomst elke illegale manier inzetten om aan informatie te komen en het daarna afschuiven op "Oh, was een geheim lek binnen [Java, iOS, Android, Firefox, etc] welke we niet gaan disclosen".
En de wereld trapt weer in een van de truukjes van de Amerikaanse Gesta... geheime dienst.
Dat wordt overstappen op plan B.
Alle andere browsers, met name Chrome, lopen hier ver op voor. Jammer, want ik zou liever een volledige open-source browser gebruiken van een non-profit.
dus een closed source variant, zoals google chrome, heeft jouw voorkeur?
van allebei valt wat te zeggen.
De kwetsbaarheid is gebruikt om kinderporno-criminelen te pakken via TOR. Hoe erg dit vergrijp ook is, het lijkt me sterk dat het zwaar genoeg is om de (voor amerikaans gebruik) generieke noemer 'gevaar voor staatsveiligheid' te gebruiken. eerder dat dit 1 van de weinige ingangen is voor de FBI, NSA, etc. om mensen te identificeren die van TOR gebruik maken. raken ze die kwijt, raken ze een tactisch middel kwijt.
De verdediging heeft het recht de code in te zien voor een eerlijk proces, de FBI heeft het recht om de code geheim te houden in verband met landsbelang. De bal ligt nu bij de FBI. Vinden ze de code belangrijker dan vervolgen van de verdachten in deze kinderpornozaak?
http://arstechnica.com/tech-policy/2016/05/judge-says-suspect-has-right-to-review-code-that-fbi-has-right-to-keep-secret/
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
