গুগলের কিস কুক লিনাক্স কার্নেলের ত্রুটিগুলির উপর কাজ করার প্রক্রিয়াটিকে আধুনিকীকরণ করার আহ্বান জানিয়েছেন

Kees Cook, প্রাক্তন kernel.org CSO এবং উবুন্টু সিকিউরিটি টিমের নেতা, যিনি এখন Android এবং ChromeOS সুরক্ষিত করার জন্য Google-এর জন্য কাজ করেন, কার্নেলের স্থিতিশীল শাখায় বাগ সংশোধন করার বর্তমান প্রক্রিয়া সম্পর্কে উদ্বেগ প্রকাশ করেছেন। প্রতি সপ্তাহে, স্থিতিশীল শাখাগুলিতে প্রায় একশত ফিক্স অন্তর্ভুক্ত করা হয় এবং পরবর্তী রিলিজে পরিবর্তনগুলি গ্রহণ করার জন্য উইন্ডোটি বন্ধ করার পরে, এটি এক হাজারের কাছাকাছি পৌঁছে যায় (রক্ষণাবেক্ষণকারীরা উইন্ডোটি বন্ধ না হওয়া পর্যন্ত সংশোধনগুলি ধরে রাখে এবং "-rc1" গঠনের পরে তারা একযোগে জমে থাকাগুলি প্রকাশ করুন), যা অনেক বেশি এবং লিনাক্স কার্নেলের উপর ভিত্তি করে রক্ষণাবেক্ষণ পণ্যগুলির জন্য প্রচুর পরিশ্রমের প্রয়োজন।

কীসের মতে, কার্নেলের ত্রুটির সাথে কাজ করার প্রক্রিয়াটিকে যথাযথ মনোযোগ দেওয়া হয় না এবং এই এলাকায় সমন্বিত কাজের জন্য কার্নেলের অন্তত 100 জন অতিরিক্ত বিকাশকারীর অভাব রয়েছে। কোর কার্নেল ডেভেলপাররা নিয়মিতভাবে বাগগুলি ঠিক করে, কিন্তু কোন গ্যারান্টি নেই যে এই ফিক্সগুলি তৃতীয় পক্ষের দ্বারা ব্যবহৃত কার্নেল ভেরিয়েন্টগুলিতে পোর্ট করা হবে৷ লিনাক্স কার্নেলের উপর ভিত্তি করে বিভিন্ন পণ্যের ব্যবহারকারীদেরও কোন বাগ সংশোধন করা হয়েছে এবং কোন কার্নেল তাদের ডিভাইসে ব্যবহার করা হয়েছে তা নিয়ন্ত্রণ করার কোন উপায় নেই। বিক্রেতারা শেষ পর্যন্ত তাদের পণ্যের নিরাপত্তার জন্য দায়ী, কিন্তু স্থিতিশীল কার্নেল শাখায় একটি খুব উচ্চ প্যাচিং হারের সাথে, তারা সমস্ত প্যাচ ব্যাকপোর্টিং, বেছে বেছে সবচেয়ে গুরুত্বপূর্ণ পোর্টিং বা সমস্ত প্যাচ উপেক্ষা করার মধ্যে একটি পছন্দের মুখোমুখি হয়েছিল।

সর্বোত্তম সমাধান শুধুমাত্র সবচেয়ে গুরুত্বপূর্ণ সংশোধন এবং দুর্বলতা স্থানান্তর করা হবে, কিন্তু সাধারণ প্রবাহ থেকে এই ধরনের ত্রুটিগুলিকে বিচ্ছিন্ন করা প্রধান সমস্যা। পপ আপ হওয়া বেশিরভাগ সমস্যা সি ল্যাঙ্গুয়েজ ব্যবহারের কারণে হয়, যা মেমরি এবং পয়েন্টার নিয়ে কাজ করার সময় খুব যত্নের প্রয়োজন হয়। বিষয়গুলিকে আরও খারাপ করার জন্য, অনেকগুলি সম্ভাব্য দুর্বলতার সমাধানগুলি CVE শনাক্তকারীর সাথে সরবরাহ করা হয় না, বা প্যাচ প্রকাশিত হওয়ার কিছু সময় পরে এমন একটি শনাক্তকারী গ্রহণ করে। এই ধরনের পরিস্থিতিতে, নির্মাতাদের জন্য বড় নিরাপত্তা সমস্যা থেকে ছোটখাটো সংশোধনগুলি আলাদা করা খুব কঠিন। পরিসংখ্যান অনুসারে, একটি CVE বরাদ্দ করার আগে 40% এরও বেশি দুর্বলতাগুলি স্থির করা হয় এবং একটি ফিক্স প্রকাশ এবং একটি CVE নিয়োগের মধ্যে গড় বিলম্ব হয় তিন মাস (অর্থাৎ, প্রথমে, ফিক্স হিসাবে ধরা হয় একটি সাধারণ বাগ, কিন্তু মাত্র কয়েক মাস পরে এটি স্পষ্ট হয়ে যায় যে দুর্বলতা সংশোধন করা হয়েছে)।

ফলস্বরূপ, দুর্বলতার জন্য সংশোধন সহ একটি পৃথক শাখা না থাকা এবং একটি নির্দিষ্ট সমস্যার সুরক্ষা সংযোগ সম্পর্কে তথ্য না পেয়ে, লিনাক্স কার্নেলের উপর ভিত্তি করে পণ্যগুলির নির্মাতারা তাজা স্থিতিশীল শাখাগুলি থেকে ক্রমাগত সমস্ত সংশোধন স্থানান্তর করতে বাকি থাকে। কিন্তু এই কাজটির জন্য প্রচুর পরিশ্রমের প্রয়োজন হয় এবং পণ্যের স্বাভাবিক ক্রিয়াকলাপকে ব্যাহত করতে পারে এমন পশ্চাদপসরণকারী পরিবর্তনের ভয়ে কোম্পানিগুলিতে প্রতিরোধের সম্মুখীন হয়।

মনে রাখবেন যে, লিনাস টরভাল্ডসের মতে, সমস্ত ত্রুটি গুরুত্বপূর্ণ এবং দুর্বলতাগুলিকে অন্য ধরণের ত্রুটি থেকে আলাদা করা উচিত নয় এবং একটি পৃথক উচ্চ অগ্রাধিকার বিভাগে বরাদ্দ করা উচিত। এই মতামতটি এই সত্য দ্বারা ব্যাখ্যা করা হয়েছে যে একজন সাধারণ বিকাশকারীর জন্য যিনি নিরাপত্তা সংক্রান্ত বিষয়ে বিশেষজ্ঞ নন, একটি ফিক্স এবং একটি সম্ভাব্য দুর্বলতার মধ্যে সংযোগটি সুস্পষ্ট নয় (অনেক সংশোধনের জন্য, শুধুমাত্র একটি পৃথক অডিট আপনাকে বুঝতে দেয় যে সেগুলি নিরাপত্তার সাথে সম্পর্কিত। ) লিনাসের মতে, সাধারণ প্যাচ প্রবাহ থেকে সম্ভাব্য দুর্বলতাগুলিকে বিচ্ছিন্ন করার জন্য লিনাক্স ডিস্ট্রিবিউশনে কার্নেল প্যাকেজগুলি রক্ষণাবেক্ষণের জন্য দায়ী টিমের নিরাপত্তা দলগুলির উপর নির্ভর করে।

কিস কুক বিশ্বাস করেন যে দীর্ঘমেয়াদী খরচে কার্নেলকে সুরক্ষিত রাখার একমাত্র সমাধান হল কোম্পানিগুলিকে স্থানীয় কার্নেল বিল্ডে প্যাচ পোর্ট করার সাথে জড়িত ইঞ্জিনিয়ারদের নিয়ে যাওয়া যাতে আপস্ট্রিম কার্নেলে প্যাচ এবং দুর্বলতা বজায় রাখার জন্য সহযোগিতামূলকভাবে এবং সমন্বয়ের সাথে কাজ করা যায়। বর্তমান আকারে, অনেক নির্মাতারা তাদের পণ্যগুলিতে সর্বশেষ কার্নেল সংস্করণ ব্যবহার করে না এবং তাদের নিজস্ব ব্যাকপোর্ট সংশোধন করে, যেমন দেখা যাচ্ছে যে বিভিন্ন কোম্পানির প্রকৌশলীরা একই সমস্যার সমাধান করে একে অপরের কাজের নকল করে।

উদাহরণস্বরূপ, যদি 10টি কোম্পানি, প্রত্যেকে একজন প্রকৌশলী একই সংশোধনগুলিকে সমর্থন করে, সেই ইঞ্জিনিয়ারদেরকে বাগগুলি ঠিক করার জন্য আপস্ট্রিমে পুনর্নির্দেশ করে, একটি একক ফিক্স পোর্ট করার পরিবর্তে, তারা সাধারণ ভালর জন্য 10টি ভিন্ন বাগ ঠিক করতে পারে বা প্রস্তাবিত পরিবর্তনগুলির পর্যালোচনাতে যোগ দিতে পারে৷ এবং কার্নেলে অন্তর্ভুক্ত হওয়া থেকে বগি কোড প্রতিরোধ করুন। রিসোর্সগুলি পরীক্ষা এবং কোড বিশ্লেষণের জন্য নতুন টুল তৈরি করতেও নিবেদিত হতে পারে, যা প্রাথমিক পর্যায়ে স্বয়ংক্রিয়ভাবে ত্রুটির সাধারণ শ্রেণীর সনাক্ত করতে দেয় যা বারবার পপ আপ হয়।

কিস কুক মূল উন্নয়ন প্রক্রিয়ায় সরাসরি স্বয়ংক্রিয় এবং অস্পষ্ট পরীক্ষার আরও সক্রিয় ব্যবহার, অবিচ্ছিন্ন একীকরণ সিস্টেমের ব্যবহার এবং ইমেলের মাধ্যমে প্রাচীন উন্নয়ন ব্যবস্থাপনা পরিত্যাগ করার পরামর্শ দেন। বর্তমানে, কার্যকরী পরীক্ষা এই কারণে বাধাগ্রস্ত হচ্ছে যে মূল পরীক্ষার প্রক্রিয়াগুলি বিকাশ থেকে পৃথক করা হয়েছে এবং প্রকাশগুলি গঠনের পরে ঘটে। কীগুলি বাগ কমাতে আরও সুরক্ষিত ভাষা যেমন মরিচা ব্যবহার করার পরামর্শ দিয়েছে৷

উত্স: opennet.ru