Exported Data

11 April 2022

Channel «نقد نرم افزار آزاد» created

W

03:45

Wracked

-- شروع --

W

11:53

Wracked

Photo

Not included, change data exporting settings to download.

720×257, 24.7 KB

لینک پیام
@floss_dictators

11:53

Photo

Not included, change data exporting settings to download.

720×559, 52.3 KB

https://t.me/floss_dictators/15
@floss_dictators

11:53

Photo

Not included, change data exporting settings to download.

720×293, 21.5 KB

https://t.me/floss_dictators/15
@floss_dictators

11:53

این مقالهٔ‌ آقای بهزادی هست ، کار به اشتباهات فنی در این مقاله نداریم، بخش مورد بحث ما قسمتی از این مقاله هست که در اون تصویری رو قرار داده که توسط خودش به طور ناشیانه ای تحریف شده است !

@floss_dictators

11:53

Photo

Not included, change data exporting settings to download.

800×600, 93.0 KB

تصویر اصلی
@floss_dictators

11:53

Photo

Not included, change data exporting settings to download.

1000×750, 110.2 KB

تصویری که آقاب بهزادی قرار داده است.
@floss_dictators

11:53

آقای بهزادی حتی به کتابخانهٔ Glibc به اشتباه Glib گفته بودند !
به قول اون فرد مطمئنم فرق Glibc , Glib , Gnulib را هم نمی دانند.
@floss_dictators

11:53

https://madaidans-insecurities.github.io/linux.html

https://madaidans-insecurities.github.io/guides/linux-hardening.html

https://madaidans-insecurities.github.io/firefox-chromium.html

@floss_dictators

11:53

The_state_of_the_Linux_kernel_security.pdf

Not included, change data exporting settings to download.

1.3 MB

@floss_dictators

11:53

browser_privacy.pdf

Not included, change data exporting settings to download.

10.3 MB

@floss_dictators

11:53

https://www.ranum.com/security/computer_security/editorials/dumb/index.html

https://derelict-land.neocities.org/articles/security-researchers.html

@floss_dictators

11:53

درباره جناب آقای سیدپولر باید بگم که :
ما داشتیم با هم یک بحثی می کردیم سر برتری نرم افزار آزاد بر نرم افزار انحصاری ، اولش منطقی (Discussion) بود ولی کم کم به بحث غیرمنطقی (Debate) تبدیل شد
تفاوت Debate و Discussion هم به نوع نگاه افراد به بحث بستگی داره ، اگر افراد این پیش فرض رو داشته باشن که بخوان از بحث یک چیزی یاد بگیرن و فکر کنن که نظر خودشون می تونه اشتباه باشه و سعی در برتری و به رخ کشیدن دانش خودشون رو نداشته باشند ، اون می شه Discussion و برعکس این شرایط هم می شه Debate [به هیچ عنوان هدفم از استفاده از این کلمات کلاس گذاشتن نیست ، بلکه به کاربردن این کلمه های انگلیسی تفاوت رو ملموس تر می کنه و اگر در اینترنت جستجو کنید Debate Vs Discussion به مطالب جالبی بر می خورید]

من خودم سوادی در این زمینه ندارم ولی در این زمینه بررسی هایی (جستجو در سایت ها معتبری مثل kernel.org و خوندن مطالبشون ، پرسیدن سوال از افراد باسوادی (هم ایرانی هم خارجی) که در پروژه های آزادی مثل Linux , GrapheneOS , LineageOS و ... مشارکت تکنیکی [منظورم از تکنیکی مشارکت در توسعه ، اضافه کردن یک قابلیت و یافتن باگ و رفع اون هست. مشارکت هایی مثل ترجمه Documentation و ... رو مشارکت تکنیکی در نظر نگرفتم] داشتن و دیدن برنامه های مختلفی مثل BSDCan و ... هست) انجام دادم

ادعایی که بیشتر طرفداران نرم افزار آزاد دارند این هستش که چون لینوکس سورس کد اش مشخص هست پس راحت تر می شه توش باگ ها رو پیدا کرد و سریعتر رفعشون کرد.

ولی مسئله خیلی پیچیده تر از این حرف ها هست ، یک توسعه دهنده ممکنه از obfuscation استفاده کنه و خوندن سورس کد و فهمیدن اینکه اون کد دقیقا چیکار می کنه رو سخت کنه
https://en.wikipedia.org/wiki/Obfuscation_(software)

حالا این رو هم اضافه کنید که خیلی ها از شلخته بودن و comment نداشتن خیلی از کد ها شاکی هستند و می گن که بر اساس اصول کتاب Clean Code نبوده ! (البته خیلی ها هم انتقادات زیادی به این کتاب وارد کردند ولی در مجموع خیلی ها گفتند که کدها شلخته هستند)

یک سری از این اعضای جامعه نرم افزار آزاد فکر می کنند که خوندن سورس کد راه بهینه ای برای پیدا کردن باگ های امنیتی و ... است ، درصورتی که راه بهینه استفاده از ابزار هایی مثل sanitizer , fuzzer و ... هست.

https://www.kernel.org/doc/html/latest/dev-tools/index.html

https://www.kernel.org/doc/html/latest/dev-tools/testing-overview.html

https://papers.freebsd.org/2019/bsdcan/turner-fuzzing_the_kernel/

https://github.com/intelpt/winafl-intelpt

در مقابل بعضی از طرفداران متعصب ویندوز هم هستند که می گن چون لینوکس سورس کد اش در دسترس هست پس مهاجم می تونه با خوندن سورس کد آسیب پذیری ها رو پیدا کنه و تهاجمی رو انجام بده ! (به قول ادمین گروه کالی بویز لینوکس مثل قند آسیب پذیری می خوره)

البته گاهی وقت ها (شرایط خیلی نادر) خوندن سورس کد به کشف باگ کمک می کنه ، مثلا :
• یک بار یک باگ در ChromeOS سر اضافه یا کم نوشتن یک کاراکتر رخ داد که باعث می شد کاربران نتونن وارد سیستمشون بشن (Login) که این مشکل رو سریع پیدا کردند و رفعش کردند !
• یک script بود که به دلیل یک فاصله اضافی باعث می شد که دایرکتوری home کاربر پاک بشه

sudo rm -rf /home /x

به جز این گاهی وقت ها اگر یک نفر باگی رو در یک نرم افزار آزاد پیدا کنه ، اگر توسعه دهنده اجازه بده می تونه مشارکت کنه و باگ رو رفع کنه که این یک مزیت نرم افزار آزاد حساب می شه ، ولی در فرآیند پیدا کردن باگ تفاوت فاحشی نداره.

این اگر رو گفتم ، چون گاهی وقت ها از بعضی کاربران (خارجی و ایرانی) می شنوم که می گن نرم افزار آزاد دست کاربران رو توی درخواست اضافه کردن یک قابلیت یا feature بازتر می ذاره ، ولی این درست نیست ! این شرایط به توسعه دهنده بستگی داره ، ممکنه یک توسعه دهنده نرم افزار انحصاری به درخواست کاربرانش اهمیت بده و قابلیتی رو اضافه بکنه و برعکس اش توسعه دهنده یک نرم افزار آزاد همچین کاری نکنه !
مثال :
https://www.sqlite.org/codeofethics.html

https://www.sqlite.org/copyright.html

اینقدر بحث کردیم تا به جایی رسیدیم که من گفتم حتی نرم افزار آزاد هم تضمینی برای حریم خصوصی نیست ، چون توسعه دهنده می تونه کد مخرب یا malicious قرار بده و با همین مبهم سازی یا obfuscation که گفتم کار رو برای اونایی که سورس کد رو می خونن سخت کنه !

به جز این می تونه جوری کد مخرب بنویسه که اشتباه برنامه نویسی به نظر بیاد

https://en.m.wikipedia.org/wiki/Underhanded_C_Contest

@floss_dictators

11:53

Photo

Not included, change data exporting settings to download.

466×96, 10.0 KB

لینک گروه
@floss_dictators

11:53

نظر یکی از دوستان با سواد در این حوزه را بخوانید.

@floss_dictators

11:53

Photo

Not included, change data exporting settings to download.

720×1234, 166.2 KB

https://www.sqlite.org/codeofethics.html

@floss_dictators

11:53

علاوه بر اون وقتی بررسی کنیم می بینیم در قضیه backdoor تفاوتی بین نرم افزار آزاد و انحصاری نیست ! یک نهادی که قصدش جاسوسی هست می تونه به توسعه دهنده نرم افزار انحصاری پول بده که توش backdoor قرار بده !

همون نهاد هم می تونه به توسعه دهنده اصلی یک نرم افزار آزاد یا کسی که قراره مشارکت کنه پول بده تا اونم توش backdoor قرار بده. مثل اتفاقی که چند سال پیش احتمالا برای پروژه OpenBSD رخ داد !
گفتم احتمالا چون خیلی ها هم این قضیه رو رد کردند و گفتند که احتمالش خیلی کم بوده :
https://threatpost.com/experts-openbsd-backdoor-allegations-almost-certainly-false-121510/74782/

احتمال وجود backdoor چه توی نرم افزار آزاد ، چه نرم افزار انحصاری وجود داره و از نرم افزار های آزاد هم گاهی وقت ها به عنوان honeypot استفاده می شه.

حالا شرایط عجیب تر می شه که بفهمید گاهی وقت ها با هیچ ابزار/تکنیکی نمی شه فهمید سیستمی backdoor داره :

https://www.wired.com/2016/06/demonically-clever-backdoor-hides-inside-computer-chip/

خلاصه من برای هر ادعایی که می کردم لینک می دادم و به هیچ عنوان هم نظر خودم رو تحمیل نمی کردم ، کار به جایی رسید که سیدپولر به من حمله شخصی کرد ("تو هیچی بارت نیست" و ...) ، بعدش گفتم من چیزی بلد نیستم ولی هرچی گفتم زیرش لینک و منبع فرستادم ، بعد اومد لینک یک مطلب بی مزه از وبلاگش رو فرستاد و گفت این هم لینک !
اینقدر مطلبش بی مزه بود که حتی سطح جوکش از "یه مرده می خوره به نرده بر می گرده" هم پایین تر بود.
برام جالب بود که کسی که منو مرتبا به ترول کردن متهم می کرد خودش وسط یک بحث جدی بیاد ترول کنه !

در آخر هم گفت که آها ، راستی fuzzer هم فقط برای نرم افزار آزاد کار می کنه و فکر کنم آخر پیامش هم از این emotion های مسخره [که همه تو فضای مجازی می ذارن که بگن من چقدر باحالم] گذاشت
فکر کنم :)))) بود

خلاصه فکر کرد من الان لفت میدم یا بن می شم که اومدم تو گروه لینک دادم و فهمید سوتی داده !
حالا به جای اینکه یک واکنش منطقی داشته باشه من رو دوباره متهم به ترول کرد. آخر دیدم با این جماعت اصلا نمی شه منطقی بحث کرد ، برای همین هم یک پیام که به طور مودبانه تحقیرش می کرد فرستادم و لفت دادم !

دیدم از رو نرفتن و بازم دارن پشت سرم حرف می زنن و از خودشون تمجید می کنن که چقدر منطقی بودن.
از همه جالب تر دانیال بهزادی بود که اومد در جواب اون پیامم درباره تست های امنیتی کارشناسان امنیتی که گفتن داخل IME اصلا backdoor نیست یا احتمالش کم هست که باشه همچین جوابی داد :
دانیال بهزادی:
تا همین بیست سال پیش، تو محافل علمی می‌گفتن که شکر چه‌قدر خوبه و هیچ عوارضی نداره. همهٔ دانشگاه‌ها و صنعت هم این رو به عنوان واقعیت قبول داشتن. ولی بعد مشخص شد که کارخونه‌های تولید شکر، سالانه میلیون‌ها دلار به محافل علمی می‌دن که در مورد مزایای شکر تحقیق کنن و مطالعات منفی رو پنهان کنن.

دیگه دیدم خیلی روشون زیاد شده و هرچی دلشون می خواد میگن ، این شد که رفتم پیام هایی رو نوشتم که اشتباهاتشون رو به صورت تهاجمی بیان کنه و تا تونستم تو گروه های مختلف نشر دادم ، خوشبختانه همون پیام های توهین آمیز هم باعث شدن تعدادی به بی منطقی این جماعت پی ببرن !

دیدم هنوز هم از رو نرفتن ، برای همین تصمیم گرفتم این کانال رو بسازم و بقیه دوستان رو هم آگاه کنم (شاید نحوه بیانم یک مقداری تند باشه ولی خالصانه و بدون دروغ هست)

بعد از اون هرکسی که رفت تو این گروه و اعتراض خودش رو به صورت منطقی بیان کرد رو به بهانه دروغین ترول کردن ban کردند.
مثل استالین که به کشاورزان انگ سرمایه دار بودن می زد و با گرسنگی دادن به مردم چند میلیون آدم رو کشت
(واقعه Holodomor)

گروه نرم افزار آزادی که آزادی بیان نداره ! [تناقض]

@floss_dictators