Greg KH: Linux 2.6.17.11

A baj az, hogy a bugok jelentős része érinti a disztrib kerneleket is (lásd). Ha ezek security bugok (és a linkelt listában csak azokat látod), akkor vagy bevállalod éles környezetben, hogy _ismert_ biztonsági hibával fut a rendszer, vagy pedig azt is frissíted és akkor ugyan az lesz a helyzet, mint vanilla kernellel, csak a disztrib kernelhez ráadásul kicsit lassabban jön ki a javítás. (Arról nem is beszélve, hogy mostanában Linusék hajlamosak elsunnyogni egyes biztonsági javításokat és mindenféle nem kritikus bugfixnek tüntetik fel azokat a commit logokban, így előfordulhat olyan eset, hogy esetleg valamelyik disztributornál kimarad egy-egy fontos patch bekerülése a saját kernelfájukba...) Persze sokan nem veszik komolyan a biztonságot és nem frissítenek túl gyakran, aztán ha mégis beüt a mennykő, akkor tűzoltás jellegű megoldással orvosolják a helyzetet. Egyes Linuxos körökben (elnézést kérek, tisztelet a kivételnek) egyébként is tévhit, hogy "a Linux nem bugos, nem kell frissíteni" (elég Nagyapa hozzászólásait olvasgatni itt néha) és vannak helyek, ahol több éve futnak úgy Linux-alapú rendszerek, hogy nem lettek biztonsági szempontból frissítve. Elég sok ilyen helyen fordulok meg munkámból adódóan és mindig fogom a fejemet. Főleg amikor szinte dicsekvés képpen mondják egyes rendszergazdák, hogy "ez a Linuxos gép 6 éve megy megállás nélkül, telepítése óta nem nyúltunk hozzá!"

Informatikában az egyik legdrágább és legproblémásabb dolog a patch management. Irdatlan erőforrásokba kerül naprakészen tartani egy nagycéges rendszert. Vannak helyek, ahol azért kellett Linuxos szervereket kiváltanom Windowsos megoldásokra, mert egyszerűen nem volt olyan informatikus a vállalatnál aki bemerte volna vállalni azoknak a gépeknek a karbantartását. Az IT management pedig azt mondta (érthető okokból), nekik arra van szükségük, hogy náluk szinte bárki a céges előírások alapján eltudja látni a rá szabott rendszerek frissítését. Persze Linuxos körökben (bocsánat, hogy megint ilyeneket írok) gyakori az olyan kijelentés, hogy "mi nagy dolog a patchelésen, berakom cronba, hogy naponta automatikusan frissítsen - apt-get update && apt-get upgrade - és már kész is". Sajnos ez komoly helyeken nem kivitelezhető, mert ha egy hibás frissítés miatt (vagy egyszerűen csak az adott frissítés valamiért nem működik rendesen az adott rendszeren és megborul) megáll a termelés akár csak 1 órára is, akkor dollármilliókat veszít a cég és valakinek a fejét veszik majd emiatt. Minden egyes frissítést minden esetben ellenőrízni egy élessel 100%-ban megegyező teszt rendszeren pedig nem egyszerű feladat abban a világban, ahol naponta több száz bejelentés érkezik szoftver hibákról. Persze lehet mondani, hogy nem mindegyik bug érinti a céget és ez nyilván így is van, de amikor egy olyan rendszerrel kapcsolatban jön ki javítás, amelyet használnak, akkor nehéz eldönteni, hogy ki legyen az aki majd megmondja, hogy a sebezhetőség érinti-e valamelyik azt futtató szervert vagy sem. Elég csak arra gondolni, hogy néha még a fejlesztők sem tudják 100%-ra megmondani, hogy a hiba amelyet javítottak mennyire súlyos. Az advistorykban és egyéb security oldalakon DoS-nak kikiáltott hibák jórészéről már sokszor kiderült, hogy nem csak azokra jók. Jó példa erre a legutóbbi Linux prctl bug is, amelyre először szintén azt mondták, hogy másra nem használható ki, mint egyes partíciók szabad területének betelítésére core dumpal. Aztán jött "valaki", aki bebizonyította, hogy nem így van az... ;)

Ezzel nem azt akarom mondani, hogy a disztrib kernelek rosszabbak, (se azt - mielőtt valaki leflamel -, hogy csak a Linuxal vannak bajok), hanem arra próbálok rámutatni, hogy megfelelő megoldás egyelőre nincs a problémára és a helyzetet nem könnyíti meg a Linuxnál a jelenlegi fejlesztési modellje.

Nah, befejezem most már. Sokan úgy se fogják (vagy nem akarják) majd érteni a lényeget és az lesz a reakció, hogy "miért, a vindo$ jobb?". Nem, nem jobb.

Kerdesem mar csak az, hogy ha - mint lathatjuk - a linuxkernel "development" minosege a sufninal nagyobb meretekben egyszeruen nem mukodik, es ez - amellett hogy joval lassabb - a disztrib kernelekre is erosen kihat, megoldhato-e hogy ne kelljen mar folyamatosan a "linux a fuuu meg hu meg haa es majdnem mindenhova tok jooo!?" tipusu hozzaszolasokat olvasni? :) Pl toled :)

Tudod: openszorsz - menjel lkml-re es tegyel erte hogy stabilizalodjon a helyzet (vagy ha ez nem mukodik, akkor a "huu de szuper community" stilust SEM ohajtom latni), addig idiot fanboys STFU ;)