По информации портала theregister.co.uk недавно произошла массивная утечка приватных билдов ОС Windows 10 и фрагментов ее исходных кодов.
Массив из 32 терабайтов данных (в архивированном виде — 8 терабайт), состоящий из официальных и приватных образов, закрытой технической документации и исходных текстов, оказался загруженным на ресурс betaarchive.com
Предполагается, что конфиденциальные данные в этом дампе были нелегально скопированы из внутреннего хранилища Microsoft приблизительно в марте 2017 года.
По сообщениям людей, успевших ознакомиться с материалами внушительного архива, утекшие исходные коды в нем относятся к Microsoft's Shared Source Kit. Этот набор включает в себя исходники базовых драйверов Windows 10, стеков Wi-Fi,USB и PnP, драйверов систем хранения и ARM-версии ядра OneCore.
На данный момент имеются все предпосылки того, что инцидент окажется не менее значительным, чем в свое время утечка исходных кодов Windows 2000.
В довершение этого «праздника», в утекшем массиве среди вполне официальных билдов Windows 10 и Windows Server 2016 были обнаружены и секретные экземпляры, которые никогда не предназначались для публичного доступа, а использовались инженерами компании для поиска багов и экспериментального тестирования.
По мнению Криса Уильямса, редактора theregister, Internet ждет новая волна эксплоитов и вирусов, использующих ранее неизвестные уязвимости в коде новейших версий Windows.
Источник утечки и обстоятельства произошедшего пока не ясны. Представители компании Microsoft на момент публикации никак не про комментировали ситуацию.
Комментарии (87)
keydon2
24.06.2017 06:30+5А вот у большинства линуксов нет такой проблемы)
Akuma
24.06.2017 09:54У них вообще все исходники по сети ходят.
h31
24.06.2017 19:38Да не говорите, вообще кошмар. Безумные люди, ничего не боятся. Я даже процитирую кусочек статьи: "Internet ждет новая волна эксплоитов и вирусов, использующих ранее неизвестные уязвимости в коде новейших версий" (Linux).
maaGames
24.06.2017 07:13+2Незаметно украсть 8 терабайт данных… Безопасников вздрючат нехило за такой косяк.
Acuna
25.06.2017 13:5932 Тб заметьте-с)
maaGames
25.06.2017 14:0532 это распакованные. Вряд ли запаковали после украдывания.
Acuna
25.06.2017 14:26Да, но трагедия в том, что угнано аж 32, а не 8 из… скажем… тех же 32 имеющихся вообще. Еще интересно узнать каков это процент из всего объема, судя по всему весьма и весьма ощутимый.
maaGames
25.06.2017 14:28Я имел в виду, что 8 терабайт быстро не скачать и постоянная нагрузка должна была бы вызвать подозрение или у автоматики или у живых админов. Всё таки 8 терабайт даже на гигабитном канале долго тянулись.
Acuna
25.06.2017 14:36-1О, это да, это да, но тут от канала зависит, разумеется, лично у меня 60 мбит, и это чуть ли не минималка (!), сейчас с ходу не могу сказать сколько будет тянуться те же 8 Гб (торрентов на закачку пока нет), но, как Вы, возможно можете догадаться, минут 10-15, не более.
sumanai
25.06.2017 22:04Исходники Windows 2000 и NT4 судя по всему крали как раз в распакованном виде, так как их объём укладывался в объём болванки CD.
А нынешние терабайты скорее всего вынесли на жёстких, выкачивать столько по сети слишком палевно.maaGames
26.06.2017 14:03Что ещё больше подталкивает на мысли об анальной каре безопасников. Хотя в UPD подписали, что ничего страшного, так что может и не украли ничего.
Taciturn
24.06.2017 08:06+6Интересно, нет ли в этом архиве каких-нибудь закрытых ключей? Было бы интересно файлы валидной подписью MS подписывать.
andreishe
25.06.2017 10:33Вы действительно думаете, что в микрософте все настолько плохо, что ключи для подписи бинарников там хранят вместе с кодом?..
Taciturn
25.06.2017 10:56+3Я действительно думаю что если утащили одно, то могут утащить и другое. А потом заботливо добавить к архиву для полного комплекта.
khim
25.06.2017 15:07+1Одно дело — утащить исходники, к которым «по долгу службы» имеют доступ тысячи (а то и десятки тысяч) человек, в том числе на рабочих станциях (куда можно пробраться просто подарив кому-нибудь USB-вентилятор), совсем другое — утащить ключи, которые, скорее всего, живут не просто на рабочей станции, а заботливо засунуты в какой-нибудь TPM-модуль и просто так оттуда не вытаскиваются.
Да и потом: упыла часть (как я понимаю относительно небольшая: большая часть утекшего это бесконечные тестовые сборки Windows), то есть даже полного исходника Windows не добыли, а вы хотите, чтобы туда кто-нибудь «заботливо добавил» самое защищённое, что есть в Microsoft?
Ну нужно же соизмерять всё-таки…
Dageron
24.06.2017 08:49+2Практически каждый день происходят утечки каких-нибудь важных исходных кодов, пользовательских паролей, разного рода «приватной» информации о средствах безопасности и уязвимостях. Это навевает на мысль: вообще, есть ли ресурсы, которые аккуратно все эти архивы складируют? Возможно, в onion-е?
dunmaksim
24.06.2017 10:56Вангую, что по примеру господина Сноудена файлы выносились кусками на флешке из сети, вообще не подключенной к интернету.
dartraiden
24.06.2017 11:00Был LeakedSource, собиравший утечки паролей и предоставлявший платный доступ к этим дампам, но его прикрыли.
Есть раздел с утечками на Leakforums, но «аккуратно» там и не ночевало.
В основном же, все хаотично лежит в торрентах
sumanai
24.06.2017 11:25+6Самое главное- ссылки то где?
Jeditobe
24.06.2017 20:11+1Давать прямые ссылки на утекшие исходники не совсем легально. Кроме того, я как участник проекта ReactOS не имею права их смотреть. Все, что я знаю, что архив слитых исходников лежал на ftp сайта betaarchive.com
devalone
24.06.2017 23:04+2Кроме того, я как участник проекта ReactOS не имею права их смотреть
В смысле?Jeditobe
25.06.2017 00:11+6В прямом. Участниками проекта ReactOS внутренними правилами проекта запрещено смотреть в утекшие исходники Windows.
grishkaa
25.06.2017 02:57-2А то вдруг сразу узнаете, как сделать что-то правильно вместо того, чтобы мучительно реверсить? :)
sormon
25.06.2017 09:44+6В этом-то то и весь смысл Clean Room Reverse Egineering. Если потом будет обнаружено, что кто-то посмотрел как сделать «что-то правильно», вместо «мучительного реверсинга» — у проекта будут очень большие проблемы.
grishkaa
25.06.2017 18:49-2Так а зачем нужен «Clean Room Reverse Egineering» вообще как таковой? Выглядит так, что в проекте придумали себе кучу бессмысленных ограничений и теперь сами же от них гордо страдают.
Напоминает тот случай с утёкшим драйвером для ExFAT. У вас теперь есть код, он работает, его можно скачать, скомпилировать и запустить, просто скажите спасибо, что он есть, и используйте его для того, чтобы сделать мир лучше. Это настолько просто.
А концепция так называемой «интеллектуальной собственности» крайне несостоятельна.
Давайте, минусуйте меня полностью за критический взгляд на вещи, я готов.khim
25.06.2017 20:02+2У вас теперь есть код, он работает, его можно скачать, скомпилировать и запустить, просто скажите спасибо, что он есть, и используйте его для того, чтобы сделать мир лучше. Это настолько просто.
Угу. А вероятность получить штраф в несколько миллиардов долларов — это вообще такая фигня, взял, открыл тумбочку, да заплатил — делов-то.
А концепция так называемой «интеллектуальной собственности» крайне несостоятельна.
Dura lex, sed lex. Пока эта концепция носил силу закона и за её нарушение выкатыват немалые сроки — с ней приходится считаться.
Давайте, минусуйте меня полностью за критический взгляд на вещи, я готов.
С каких пор предложение совершить уголовное преступление с оценокой до шести лет называется «критическим взглядом на вещи»?
Nikobraz
27.06.2017 05:37Примерно по этой причине я никогда не буду пользоваться ReactOS.
По подобной причине я никогда не буду публиковать код под GPL-лицензией, если уж и отдавать на шару, то под BSD, MIT, As-Is.
perfect_genius
26.06.2017 10:46Но реверсить не запрещено?
sumanai
26.06.2017 11:39Запрещено писать код тем, кто реверсил. В этом и суть подхода с чистой комнатой- один реверсит и пишет спецификацию, другой по этой спецификации пишет код. В итоге придраться не к чему.
NeoCode
24.06.2017 12:40+132 терабайта (да даже 8)… и это только маленькая часть??? Хотел бы скачать, но некуда:)
Ну я понимаю конечно что там еще и образы, интересно сколько весят чисто исходники и документация.
LynXzp
24.06.2017 18:49-2Я теперь не удивляюсь почему Windows занимает так много места, я теперь удивляюсь почему так мало. 99.99% это видимо комментарии.
sumanai
24.06.2017 19:25Там просто куча разных билдов разных выпусков ОС на разных языках. В МС билды собираются как минимум каждый день, счётчик билдов перевалил за 5млн. А ведь объём билдов растёт, от XPшных 600 мегабайт до современных 3,5ГБ. То есть объём всех сборок вполне может перевалить за петабайт. И хранить их для МС нет смысла, билды можно заново пересобрать по ревизии из репозитория.
интересно сколько весят чисто исходники и документация
Гигов 100, не больше.
qw1
24.06.2017 20:00И хранить их для МС нет смысла
В некоторых проектах принято хранить каждый публичный билд (в т.ч. промежуточную информацию компилятора — pdb-файлы), чтобы в отладчике иметь возможность без проблем подключать присланные юзерами/телеметрией креш-дампы.sumanai
24.06.2017 20:11+1Публичных билдов намного меньше, чем непубличных. pdb-файлы понятное дело, у МС лежат на отдельных серверах и доступны публично. Но отладочные файлы- это не сама сборка, и в сумме весят меньше.
Shatun
24.06.2017 20:09была недавно статья-гит репозиторий винды весит 300гигов
Если в двух словах: кодовая база Windows состоит из 3.5 миллионов файлов; когда заливаешь ее на Git, получается репозиторий размером где-то в 300 гигабайт.
brain_tyrin
24.06.2017 20:09Примерно можно оценить по статье про GVFS. Статья на хабре
The Windows Git repository includes about 3.5 million files that weigh in at about 300GB when you check them into Git.
alan008
24.06.2017 14:00-2Разработчики РеактОС ликуют )))
A-Stahl
24.06.2017 14:39+11Разработчики ReactOS в ужасе — теперь смеясь над качеством их проекта можно ещё добавлять: «Да вам даже исходники винды дали, а у вас за 20 лет разработки всё равно нихрена не работает»
sumanai
24.06.2017 15:01+3Они, очевидно, их не используют, как и прошлые утёкшие исходники и прочее, доступное по разным образовательным программам.
NeoCode
24.06.2017 15:13Ну и зря. Одно дело тупо копипастить (что нежелательно, да и ненужно), а другое дело посмотреть, понять как оно устроено и подумать как можно сделать лучше.
Prototik
24.06.2017 16:28+3как можно сделать лучше
Нельзя лучше, это сломает добрую половину win программ, если не все :)
Sadler
24.06.2017 16:36+12Если Вас хотя бы заподозрят в чтении исходников виндов, разработчики ReactOS не примут Ваш код, т.к. никакой Ваш код не стоит судебной тяжбы с MS.
NeoCode
24.06.2017 18:26-5Знаете, Майкрософта бояться — реактос не писать:) Как они интересно будут узнавать что разработчик посмотрел на исходники? Как они будут определять что он посмотрел именно на исходники, а не на результат дизассемблирования например? Допросы с пристрастием или чтение мыслей?
При этом разумеется, еще раз повторю, речь идет не о тупом копировании утекших исходников в проект и даже не об их модификации.khim
24.06.2017 18:41+4Как они будут определять что он посмотрел именно на исходники, а не на результат дизассемблирования например?
Дизассемблировать он тоже не имеет права, почитайте лицензию.
Допросы с пристрастием или чтение мыслей?
Вы Шерлока Холмса когда-нибудь читали? Чем расследование инцидента о том что кто-то, условно говоря, «спёр банан» принципиально отличается от расследования инцидентов о нарушении лицении?
При этом разумеется, еще раз повторю, речь идет не о тупом копировании утекших исходников в проект и даже не об их модификации.
Разработчики ReactOS — не Шерлоки Холмсы. Если вы все утекшие исходники выучите наизусть, но никому об этом говорить не будете, то ни Microsoft, но разработчики могут ничего не узнать. Но именно поэтому «если Вас хотя бы заподозрят в чтении исходников виндов», то вас пошлют «куда подальше».
Логика тут простая: если уж вы «наследили» достаточно для того, чтобы даже разработчики ReactOS догадались, что вы на исходники смотрели — то на самом деле следов реально существует больше и «специально обученные люди» их, скорее всего, найдут…
stalsoft
26.06.2017 16:13Простите, но как разработчики ReactOS смогут догадаться, что я смотрел исходники ОС Windows, если им самим так же нельзя эти исходники смотреть? :)
PsyHaSTe
26.06.2017 18:37+1Ну это же элементарно. У них на кончиках ушей есть специальные точки, которые активируются, если человек смотрел эти исходники.
khim
26.06.2017 19:36По косвенным признакам. На кончиках ушей у них точек нет, но глаза-то у них есть?
Фраза «тут у вас обрабатывается три случая, а в драйвере Microsoft их шесть» как бы однозначно указывают на то, что человек либо видел исходники, либо реверсил этот драйвер (что, как бы, в соответствии с лицензионным соглашением тоже низзззя).
Но, как я уже сказал, особо копать на эту тему они не будут — им есть чем заняться и без того…
fett273
27.06.2017 00:28Разработчиков ReactOS в любом случае заподозрят, это вопрос времени и поиска зацепки в исходниках reactos, не инопланетяне же пишут, да и с ними(при желании) проблемы были бы. Тут остается уповать(самим разработчикам reactos), что у МС изменится отношение к этому. Если reactos будет работать, то обычные пользователи в любом случае «победят» МС, на их стороне время, на стороне МС бумага.
speller
27.06.2017 00:28А как в ReactOS определят, что присланный им код написан после просмотра исходников Windows, если участникам проекта ReactOS запрещено даже смотреть на исходники Windows? Если они не знают, как выглядит код MS, то как они смогут сравнить присланный код с кодом MS? Отказ в принятии кода под предлогом «плагиат на MS» автоматически означает знакомство с кодом MS участниками ReactOS?
Jeditobe
27.06.2017 00:31Нет.
Авторство кода легко проверяется, когда просишь разработчика объяснить, как работает указанный код, и почему он работает именно, так а не иначе.
Плюс, в мире существуют люди которые видели утекшие исходники, при этом они не являются разработчиками проекта, их можно условно назвать «аудиторами».
devalone
24.06.2017 23:05-1а другое дело посмотреть, понять как оно устроено и подумать как можно сделать лучше.
И тогда у них получится линукс :)
dartraiden
24.06.2017 15:14Также надо заметить о споре, который (по полупроверенным данным) происходил в своё время между ReactOS- и Wine-командами по поводу того, можно ли использовать утёкший в своё время код 2000-й венды для своих целей. По информации из кулуаров Wine-реактосники решили, что можно смотреть, как оно там сделано, вайновцы же решили, что контачиться нельзя никак. Впрочем, информация подана на правах срача.
Uirandir
24.06.2017 20:33-3С момента, как в РекталОС остались только российские попильщики-пиарщики они все равно ничего не пишут и ничего никогда у них работать не будет. Не для этого проект существует.
Jeditobe
24.06.2017 20:35+1они все равно ничего не пишут
Неправда и это легко доказать — https://code.reactos.org/changelog/reactos
российские попильщики-пиарщики
Ждем доказательств попилов.Uirandir
24.06.2017 20:44-3Расскажите куда делись деньги полученные вами на Селигере под бренд Woos и в какой унитаз слит данный бренд? Я понимаю, что деньги прожраны, а бренд выкинут. Вы просто взяли деньги на слете за гос.счет под ложь и потратили их на себя, а на бренд забили, думая, что никто потом и не вспомнит.
А цена вашему кода ноль. Он не работает и никогда не заработает. Не за этим он нужен.Jeditobe
24.06.2017 20:55+6На Селигере грант в 100 000 рублей был предоставлен коммерческой компанией LG за победу в конкурсе презентаций, она активно спонсировала Селигер в том году. Государственных денег никто не давал. Деньги мы потратили на развитие проекта. В проекте активно работают около 20 программистов, а тут всего лишь зарплата одного человека за пару-тройку месяцев.
Бренд — это просто еще одного название для того же самого ReactOSа.Uirandir
24.06.2017 20:59-12Вы приехали за гос.счет на мероприятие проводимое за гос.счет и взяли деньги под Woos. Деньги вы потратили на себя и про Woos забыли, даже домен потеряли. Что нам говорит о том, что вы — попильщики и воры, никаких систем вы не пишите и цели у вас такой нет. Цель у вас разводить лохов на бабки и ее вы выполняете. Как не запускалось это поделие на реальном железе во времена, когда еще хоть кому-то было нужно, так и не запускается, ведь у вас нет программистов. Смешно смотреть, как на мертвом никому не нужном проекте группа мошенников умудряется разводить лохов на бабки.
Jeditobe
24.06.2017 21:28+11Я сам оплачивал свой проезд на автобусе до места проведения и жил там в палатке в лесу. С трудом представляю куда тут тратились государственные деньги. И самое главное — мероприятие не было завязано наш проект, не поехали бы мы туда, мероприятие все равно бы состоялось и все деньги были бы точно так же потрачены.
vitvakatu
24.06.2017 21:52+3Вы так реагируете, будто это ваши деньги. Или, что более вероятно, они могли бы стать вашими, но не стали :D
Uirandir
25.06.2017 01:59-5Деньги бюджета РФ, за которые пиарщики РекталОС гуляли на Селигере — мои деньги. Я — налогоплательщик.
Jeditobe
25.06.2017 09:48+3Мы не видели ваших налоговых деклараций. Очень многие люди, упрекающие нас в растрате денег, которые они отдают государству в виде налогов, с удовольствием получают зарплату «в черную», минуя налогообложение.
Uirandir
25.06.2017 10:36-5Ага, то есть с нецелевой растратой средств выделенных под бренд woos вы согласны. Признались. Уже хорошо.
Ну а теперь про декларацию и тех кто работает в «черную».
1. Вы не сотрудник ФНС, что бы желать ее видеть.
2. Ее каждый год видят сотрудники ФНС по месту моей регистрации
3. Аргумент «сперва добейся» не работает при растрате гос.средств. Это вы должны показать куда деваете деньги полученные с лохов(в приличных проектах и по донатам есть полные раскладки. Сколько пришло, сколько и куда ушло).
4. Даже получающие «в черную» платят налоги. Приходя в магазин каждый платит НДС, например. Но вы же только воровать можете, потому не знаете о таких вещах.
Хорошо, что вы признали, что целевые средства под бренд woos были вами потрачены на свои развлечения. Ждем дальнейших ваших признаний.Jeditobe
25.06.2017 15:21Государственных денег на Селигере мы не получали.
Если мы не ФНС для вас, то и вы — для нас тоже нет. Отчитываться не обязаны.
Больше на ваш словесный понос я не отвечаю.
jankovsky
24.06.2017 17:04Отличное открытие автор! Отличный код. Хочу в microsoft. А критикует тот, кто ничего не делает.
dartraiden
«No source code has been leaked other than the ARM shared source kit.»
https://twitter.com/aionescu/status/878379371135946752
Заявление администратора betaarchive.com
kekekeks
Так они shared source и так раздают чуть ли не кому попало, только NDA подпиши. Для WinCE вообще был в свободном доступе, качай триальный platform builder да смотри.
Dreadn0ught
О, вот вовремя то как. Работу искал, а у микромягких теперь много вакансий освободится (минутка черного умора).