コンパイラに細工してバックドア

質問

「誰も Linux Kernelソースを読んでいない」という記事で、そういう話があります。
１．疑問なのですが、オフラインで、どういうソフトを製造するかわからない、どういうコードが来るかわからないのに、コンピュータプログラムが自動的に判断して、ばれないようにバックドアを入れるなんてことが可能なんでしょうか？
２．１が可能とすると、たとえば暗号化ソフトなんかもそれ自体がオープンソースであっても、それをコンパイルするコンパイラもオープンソースのものを使わないと意味ないんでしょうか？
３．UbuntuやLinux mintや7-zip（AES)やTruecryptは何というソフトを使ってコンパイルされてるんでしょうか？
わかるものだけでもいいので教えてください。

回答No.3

koinobori7 · ベストアンサー

コンパイラについては、すでに答えがあるので、

１．あなたがアメリカ大統領で政府の職員に、LINUXのカーネル（OS)の開発のお手伝いをさせるとしたら、どんな仕事をさせますか？

２．世界中で使われるような暗号で使う乱数の発生のためのプログラムを作る手伝いに政府職員を参加させるとしたらどんな乱数にしますか？

３．あなたが、暗号ソフトの輸出を許可できる立場の大統領なら、どんな暗号ソフトに対して輸出を許可しますか？

私が大統領なら、
１．OS自体にバックドアを仕掛けさせます。
２．乱数の種類を少なくして、出力される乱数が全て登録されているようにします。
３．解読できる程度の暗号ソフトしか輸出の許可を出しません。

お礼

ご回答ありがとうございます。

＞＞出力される乱数が全て登録されているようにします

こんな仕組みで暗号を解読できるような状態にできるんですね。
参考になりました。

回答No.2

mitoneko

1.コンパイラを作る時点で、ウィルス込みのプログラムを吐き出すようにするだけなら、いたって簡単でしょう。方法なら、いくらでも。安直にやるなら、大概の高級言語では、本体プログラムを走らせる前に初期化作業が必要です。また、終了直前のクリーンアップも必要かもしれません。ここに埋め込んでおけば、たとえ本体がどんなプログラムであろうが関係がありません。コンパイラは、出力したプログラムがどんなＣＰＵで動作するかを知っていますし、どんなＯＳで実行されるかも知っています。何も障害はありません。ライブラリーに仕込んでおくことも出来ますね。普通、高級言語では、たいていの場合、必ず使われる標準ライブラリーが存在します。そのライブラリーに仕込むのも、至って簡単なことです。

２．暗号化ソフトのソースがいくら安全な物であっても、コンパイラが危険満載ではどうにもなりません。ちなみに、オープンソースだから安心できるかと言えば、そんなことも無いでしょう。かえって、高額の費用を請求してくる企業の製品の方が安心できるかもしれません。何故って、普通、そんなウィルスを商品のコンパイラや暗号化ライブラリーに仕込んで、ばれたら（絶対、いずれ、必ずばれます。）、その時点で倒産決定。ついでに、山のように損害賠償請求の訴状もやってきます。そんな危険を冒してまで取れる利益って・・・とうていビジネスモデルになりません。
　ソースが隠されているから、ソースが公開されているからというのと、安心・安全は多分別次元の話かと思います。
　絶対の保証を求めるなら、自分が、ちゃんとソースを読み込み、実行ファイルのバイナリを読み込めるだけの知識と技術を習得して、自分で実行ファイルのバイナリを読むほか無いわけですが・・・普通は、ある程度流通したソフトであれば、少し調べれば、安心できるかどうかは判断できるものです。特に、コンパイラやＯＳ等の部分に属する物は、少しでもおかしな挙動があれば、オープンソースか否かに関わらず、必ず噂になりますから。

お礼

ありがとうございます

回答No.1

DESTROY11

１．自分は「可能」と思う。
　たいていのアプリはOSやコンパイラが提供するAPIを使ってファイル操作や通信などを行っている。
　これらのデータなどをどこかのファイルに出力したりすることは可能。
　パスワードつき圧縮APIなどで、パスワードをどこかに保管しておくなんていうのもありえる。

２．オープンソースでも、バイナリつきで配布されているものも多い。
　そういう場合、わざわざコンパイルすることは少ないと思われる。
　が、同梱ソースとバイナリが同じものである保証はない。
　バイナリを実行したとたん、アカウント情報やトロイを仕込み、以後は通常動作なんていうのもありえる。

お礼

ありがとうございました