the supply chain problem

Ou "o problema da cadeia de fornecimento" em Português?

Em poucas palavras, o problema é o de ter confiança em que o software (ou hardware) comercial não traz algum tipo de backdoor, kill switch ou vulnerabilidade que permita a alguém mal intencionado fazer algo indesejável ao sistema de quem o compra. Esse tipo de mecanismo poderia ser deixado durante o seu desenvolvimento, no desenvolvimento de alguns dos seus componentes ou até durante o caminho até ao consumidor final (p.ex., quando é gravado em DVD). Daí o termo "cadeira de fornecimento".

O problema é típico de teorias da conspiração sobre governos estrangeiros que assim teriam controlo sobre os sistemas de outros países ou empresas  ( http://www.seguranca-informatica.net/2008/11/chip-malicioso-teoria-da-conspirao.html http://www.seguranca-informatica.net/2010/07/supply-chain-attack.html ). No entanto, há casos que se dizem ter acontecido a esse nível e nas distribuições de software pela internet (daí os hashes MD5 do software). Há ainda vários casos recentes de software distribuído contendo algum virus, p.ex., . O problema é real, portanto, e ainda mais pertinente quando tanto se fala de ciber-guerra.

O propósito deste post é o de deixar dois links para textos sobre o tema. Um é um draft standard do NIST americano sobre o tema, intitulado "Piloting Supply Chain Risk Management Practices for Federal Information Systems" ( http://csrc.nist.gov/publications/drafts/nistir-7622/draft-nistir-7622.pdf ). O outro é um post da CSO da Oracle, Mary Ann Davidson no seu blog que parece motivado pelo referido draft standard ( http://blogs.oracle.com/maryanndavidson/2010/09/the_root_of_the_problem.html ). Além de muitas outras coisas interessantes, esta deixa uma lista de subproblemas do problema da cadeia de fornecimento:

Constraint 1: In the general case - and certainly for multi-purpose infrastructure and applications software and hardware - there are no COTS products without global development and manufacturing.

Constraint 2: It is not possible to prevent someone from putting something in code that is undetectable and potentially malicious, no matter how much you tighten geographic parameters.

Constraint 3: Commercial assurance is not "high assurance" and the commercial marketplace will not support high assurance software.

Constraint 4: Any supply chain assurance exercise - whether improved assurance or improved disclosure - must be done under the auspices of a single global standard, such as the Common Criteria.

Constraint 5: There is no defect-free or even security defect-free software.

Boa leitura.