Linux kernel és a biztonság

Kernel

Jason Miller, a Symantec sérülékenység-elemzője szerint a Linux kernel fejlesztői az utóbbi időben elfelejtkeztek a biztonságról.Jason Miller a SecurityFocus oldalán írott cikkében kifejti a legutóbbi időkben a Linux kernelben talált biztonsági rések kapcsán véleményét: ideje lenne sürgősen a biztonságot előtérbe helyezni a kernel fejlesztésekor, és nem csak "utólag beleépíteni, beletesztelni" a különféle biztonsági patch-ek formájában. További problémának tartja, hogy biztonsági kérdésekben az érintett kernelfejlesztőket szinte a lehetetlenséggel határos elérni, mivel a kernel.org és a linux.org oldalakon nincs könnyen elérhető hibabejelentő eszköz. Pozitív példaképpen kiemeli a BSD közösségeket, valamint a Gentoo linux közösséget, akik külön létrehoztak biztonsággal foglalkozó csapatot a disztribúciójukhoz.

A teljes cikk itt olvasható

( da_real_six | 2005. 02. 10., cs – 16:55 )

Most olvastam egy hírt, ami ugyan a cikkhez nem, de a hozzászólásokhoz kapcsolódik: Szóval elképzelhető, hogy a Symantec vírusirtó részlegének tényleg kakukkoltak:

"A (legutóbbi) frissítések mellett a Microsoft azt is bejelentette, hogy megvásárolja a vírusirtót gyártó Sybari Software céget, és továbbra is arra koncentrál, hogy a szoftverei biztonságosabbak legyenek."

http://index.hu/tech/biztonsag/mici0209/ [index.hu]

Nem is tudom, hogy ez most mennyire jó hír.

drs

( trey | 2005. 02. 03., cs – 16:05 )

>hogy biztonsági kérdésekben az érintett kernelfejlesztőket szinte a lehetetlenséggel határos elérni, mivel a kernel.org és a linux.org oldalakon nincs könnyen elérhető hibabejelentő eszköz.

Szerintem a cikkiro mar nyilt kapukat donget. Ha olvasna az LKML-t, akkor lathatna, hogy mar nekialltak a lista felallitasanak. De nem is kell az LKML-t olvasni hozza, mert megirta mar a News.com.com is [news.com.com].

( global77 | 2005. 02. 03., cs – 17:00 )

Hm...

Pitiznek a M$-nek.

Csinalnak egy kis ingyenreklamot nekik,

a tovabbi jo viszony érdekében,

mert ha az M$ kiadja a sajat virusirtojat ha nem is kellene bezarniuk a boltot, de az extraprofitot biztos, hogy örökre elfelejthetik.

A cikkiro olvasta az LKML-t, es latta hogy mar nekialltak a dolognak :)

"It appears that these concerns aren't falling on deaf ears. While looking through some Linux kernel-related mailing lists, it's apparent that these issues are slowly in the process of being addressed. I am, however, still amazed at the fact that these issues have only recently been found to be problematic. Security needs to be proactive, not reactive."

Szia!

Figyusz.

Ha ez is olyan lesz mint az átlag M$ programok "szintje", akkor a Symantec mellett még sok vírusirtókat gyártó cég jócskán megél majd.

Gondolom nem kell különösebb tanulmány a "Microsoft és a biztonság" viszonyszánának taglalásához.

A negatív számok amúgy sem volt erősségem a matematikában

:-)

( nevergone v | 2005. 02. 03., cs – 22:17 )

Szerintem nem pitiznek az m$ -nek... ha így nézzük, inkább arról lehetne szó, hogy a "túlélés" tekintetében megpróbálnak több platformon is talpon maradni. Nem igazán lepődnék meg, ha kiderülne, hogy elkezdtek (vagy legalábbis terveznek) valamilyen zárt forráskódú, fizetős szoftvert fejeszteni Linuxra, mellyel (állításuk szerint) annak biztonsága fokozható. Mert ha az m$ egyre jobban vetélytárs lesz (márpedig, ha kifejleszti a szoftvereit, keményen az lesz), akkor más célterület, célcsoport után kell nézni, ahova ez utóbbi várhatóan (még) nem teszi be a lábát... furcsa is lenne, ha az m$ is elkezdeni a Linuxra fejleszteni...

Szóval, túlélés szepmpontjából jelenleg a Linux lehetne az egyetlen platform nekik, ahol az m$ még nem vetélytárs, és ahol az előzetese megszerzett szakmai hírnév (még) kamatoztatható.

És ha neadjisten ilyen terveik vannak, először is, el kell hinteni a kétkedés magvait... hogy a Linux nem rossz, csak éppen "erősen hiányos" a biztonsági modellje, de majd jövünk mi, a "nagy megváltók" a sokéves tapasztalattal, és rendet teszünk azonnyomban... "csak vásárolják meg termékünket, csak itt, csak most, kedvezményesen... igen, az Őn szerverén is rendet teszünk, és védelmezi majd Norton karate-nagymester..."

Szóval, ha üzleti oldalról nézzük ezt a bejelentést, akkor valami ilyesmit sejtenék... persze az is lehet, hogy teljesen tévúton járok...

Az Idő majd megmutatja... csak figyelni kell...

Attól, hogy nem írnak cikket, még biztonságilag ***** marad a linux kernel, rossz támogatással. A fickó pedig nem fejlesztő, hanem threat analyzer, tehát éppenhogy dolgozott (felhívom a figyelmed, hogy a Symantecnek nem egyetlen terméke a Norton AV - egyébként én sem szeretem a céget, de ez kit érdekel?).

Nem értem az indulataidat, amikor igaza van. Én még azt is hozzá merném tenni, hogy valami irtózatos módon forgácsolódik a kernelfejlesztés, mindenki forkokat indítgat a kis projektjeihez, ahelyett hogy össze lenne fogva a fejlesztés. A BSD azt is meg tudta mutatni, hogy opensource fejlesztés != fejetlenség, akkor most itt az idő, hogy a linuxosok is összeszedjék magukat... (tudom, most mindjárt jön a duma, hogy vajon én mit tettem a linuxos közösségért, meg hogy lehet windowst használni...)

drs

Nincs semmilyen indulat.

Egyszeruen tenyek: januar 14-en megegyeztek hogy lesz lista, erre _jolertesult_ iro februar 2-an felroja, hogy nincs lista. Lista lesz, de nem lesz publikus. Igaza van amit ir, csak fel honappal a tortenesek utan jar. Ez ami miatt szot emeltem. Foleg ugy, hogy a kerdeses oldal egy security oldal, es pont ezekkel foglalkoznak.

> hogy valami irtózatos módon forgácsolódik a kernelfejlesztés, mindenki forkokat indítgat a kis projektjeihez, ahelyett hogy össze lenne fogva a fejlesztés

Mit ertesz az alatt, hogy ossze lenne fogva?

A Linuxba hetente tobb MB-nyi patch erkezik egy helyre. Kivel akarod ezt atnezetni? Egy emberrel? Nem veletlenul vannak alrendszer felelosok. Ez neked fragmentacio? Pontosan ossze van fogva. Ha lennenek forkok, akkor nem azert pitizne mindenki, hogy bekeruljon a cucca a mainline-ba. Egyszeruen inditana sajat stuffot. Elarulom neked, az ilyen elszort kernelfak karbantartoinak celja a mainline kernelbe kerules.

Vagy mire gondolsz te a fragmentacio alatt? Azt, hogy holnap kisutom hogy csinalok egy -hup kernelfat? Barki csinalhat. Ez miert fragmentacio? Mi koze ennek a mainline kernelhez?

leragadsz egy apro reszletnel -- a csavonak az a legkisebb baja, h nem evidens hova kellene kuldeni reportot egy kernel bugrol; a fo problema az, ahogyan a biztonsaghoz hozzaallnak a kernelfejlesztok. a cikkel kapcsolatban meg nem arra kellene reagalni, h hol dolgozik az illeto (mi koze ennek a cikkhez?), hanem a lenyegi mondanivalot kritizalni.