Кис Кук (Kees Cook), бывший главный системный администратор kernel.org и лидер Ubuntu Security Team, ныне работающий в компании Google над обеспечением защиты Android и ChromeOS, выразил опасение текущим процессом исправления ошибок в стабильных ветках ядра. Еженедельно в стабильные ветки включается около ста исправлений, а после закрытия окна приёма изменений в следующий релиз приближается к тысяче (сопровождающие удерживают исправления до закрытия окна, а после формирования «-rc1» публикуют накопившееся разом), что слишком много и требует больших трудозатрат для сопровождения продуктов на базе ядра Linux.
По мнению Киса процессу работы с ошибками в ядре не уделяется должное внимание и ядру не хватает как минимум 100 дополнительных разработчиков для скоординированной работы в этой области. Основные разработчики ядра регулярно исправляют ошибки, но нет никаких гарантий, что эти исправления будут перенесены в варианты ядра, используемые сторонними производителями. У пользователей различных продуктов на базе ядра Linux также нет возможности проконтролировать то, какие ошибки исправлены и какое ядро используется в их устройствах. В конечном счёте за безопасность своих продуктов отвечают производители, но в условиях очень большой интенсивности публикации исправлений в стабильных ветках ядра они оказались поставлены перед выбором — переносить все исправления, выборочно портировать самое важное или игнорировать все исправления.
В итоге, не имея отдельной ветки с исправлениями уязвимостей и не получая сведений о связи с безопасностью той или ной проблемы, производителям продуктов на базе ядра Linux остаётся непрерывно переносить все исправлений из свежих стабильных веток. Но данная работа требует больших трудозатрат и сталкивается в компаниях с сопротивлением из-за опасения в появлении регрессивных изменений, способных нарушить нормальную работу продукта.
Напомним, что по мнению Линуса Торвальдса, все ошибки важны и уязвимости не следует отделять от других видов ошибок и выделять в отдельную более приоритетную категорию. Объясняется такое мнение тем, что для обычного разработчика, не специализирующегося на вопросах безопасности, не очевидна связь исправления с потенциальной уязвимостью (для многих исправлений лишь проведение отдельного аудита позволяет понять, что они касаются безопасности). По мнению Линуса, вопросами выделения из общего потока исправлений потенциальных уязвимостей должны заниматься специалисты по безопасности из команд, отвечающих за поддержку пакетов с ядром в дистрибутивах Linux.
Manaʻo ʻo Kees Cook ʻo ka hopena wale nō i ka mālama ʻana i ka palekana kernel ma ke kumu kūʻai kūpono no ka wā lōʻihi, ʻo ia ka neʻe ʻana o nā ʻoihana i nā ʻenekini i komo i ka hoʻokomo ʻana i nā hoʻoponopono i nā hale kernel kūloko i kūkulu ʻia i loko o kahi hui, hui pū ʻia e mālama i nā hoʻoponopono a me nā nāwaliwali o ka kernel nui (upstream. ). I kona ʻano i kēia manawa, nui nā mea hana i hoʻohana ʻole i nā mana kernel hou loa i kā lākou huahana a kākoʻo i nā hoʻoponopono i loko o ka hale, ʻo ia. ʻIke ʻia nā mea ʻenekinia ma nā ʻoihana like ʻole e hana kope i ka hana a kekahi, e hoʻoponopono i ka pilikia like.
Eia kekahi laʻana, inā he 10 mau ʻoihana, me kēlā me kēia ʻenekinia e kākoʻo ana i nā hoʻoponopono like, e hoʻohuli hou i kēia mau ʻenekinia i ka hoʻoponopono ʻana i nā hewa ma luna, a laila ma kahi o ke kākoʻo ʻana i hoʻokahi hoʻoponopono, hiki iā lākou ke hoʻoponopono i 10 mau hewa like ʻole no ka pono like a i ʻole ke komo ʻana i ka loiloi ʻana i nā hoʻololi i manaʻo ʻia a pale i ke code buggy mai ka hoʻokomo ʻia ʻana i loko o ke kumu. Hiki ke kuhikuhi ʻia nā kumuwaiwai i ka hana ʻana i nā mea hana hou no ka hoʻāʻo ʻana a me ka nānā ʻana i ke code e ʻike koke i nā papa o nā hewa e hana hou ana i ka wā mua.
Manaʻo pū ʻo Keith Cook i ka hoʻohana ikaika ʻana i ka hoʻāʻo automated a me ka fuzz pololei i ka wā o ka hoʻomohala ʻana i ka kernel, ka hoʻohana ʻana i nā ʻōnaehana hoʻohui hoʻomau, a me ka haʻalele ʻana i ka hoʻokele hoʻomohala e pili ana i ka leka uila kahiko. I kēia manawa, ua keakea ʻia ka hoʻāʻo pono ʻana e ka ʻoiaʻiʻo ua hoʻokaʻawale ʻia nā kaʻina hana hoʻāʻo nui mai ka hoʻomohala ʻana a hana ʻia ma hope o nā hoʻokuʻu ʻana. Manaʻo pū ʻo Keith i ka hoʻohana ʻana i nā ʻōlelo e hāʻawi ana i ke kākoʻo ikaika i ka wā o ka hoʻomohala ʻana e hōʻemi i ka nui o nā hewa. kiʻekiʻe o ka palekana, e like me Rust.
Source: opennet.ru
