Kees Cook, eks amministratur ewlieni tas-sistema ta 'kernel.org u mexxej tat-Tim tas-Sigurtà ta' Ubuntu li issa jaħdem fuq Google biex jiżgura Android u ChromeOS, esprima tħassib dwar il-proċess attwali ta 'l-iffissar ta' bugs fil-fergħat stabbli tal-qalba. Kull ġimgħa, madwar mitt soluzzjoni huma inklużi fil-fergħat stabbli, u wara li tingħalaq it-tieqa għall-aċċettazzjoni tal-bidliet fir-rilaxx li jmiss, toqrob l-elf (id-detenturi jżommu s-soluzzjonijiet sakemm it-tieqa tingħalaq, u wara l-formazzjoni ta '" -rc1” huma jippubblikaw dawk akkumulati f'daqqa), li hija wisq u teħtieġ ħafna xogħol għal prodotti ta 'manutenzjoni bbażati fuq il-kernel tal-Linux.
Skont Keys, il-proċess ta 'ħidma bi żbalji fil-qalba ma jingħatax l-attenzjoni dovuta u l-qalba m'għandhiex mill-inqas 100 żviluppatur addizzjonali għal xogħol koordinat f'dan il-qasam. L-iżviluppaturi ewlenin tal-kernel regolarment jiffissaw il-bugs, iżda m'hemm l-ebda garanzija li dawn it-tiswija se jiġu trasferiti għal varjanti tal-kernel użati minn partijiet terzi. L-utenti ta 'diversi prodotti bbażati fuq il-qalba tal-Linux ukoll m'għandhom l-ebda mod biex jikkontrollaw liema bugs huma ffissati u liema għadma tintuża fl-apparat tagħhom. Fl-aħħar mill-aħħar, il-manifatturi huma responsabbli għas-sigurtà tal-prodotti tagħhom, iżda bl-intensità għolja ħafna tal-pubblikazzjoni ta 'fissi f'fergħat stabbli tal-qalba, kienu ffaċċjati b'għażla - port l-iffissar kollha, port l-aktar importanti b'mod selettiv, jew jinjora s-soluzzjonijiet kollha .
L-aħjar soluzzjoni tkun li jiġu migrati biss l-aktar soluzzjoni u vulnerabbiltajiet importanti, iżda l-iżolament ta' żbalji bħal dawn mill-fluss ġenerali hija l-problema ewlenija. L-akbar numru ta 'problemi li jitfaċċaw huma konsegwenza tal-użu tal-lingwa C, li teħtieġ attenzjoni kbira meta taħdem bil-memorja u l-indikazzjonijiet. Biex tgħaxxaq, ħafna irqajja ta' vulnerabbiltà potenzjali mhumiex ipprovduti b'identifikatur CVE, jew huma assenjati identifikatur CVE xi żmien wara li l-garża tiġi ppubblikata. F'ambjent bħal dan, huwa diffiċli ħafna għall-manifatturi li jisseparaw soluzzjonijiet minuri minn kwistjonijiet ta 'sigurtà importanti. Skont l-istatistika, aktar minn 40% tal-vulnerabbiltajiet huma ffissati qabel ma tiġi assenjata CVE, u bħala medja, id-dewmien bejn ir-rilaxx ta’ soluzzjoni u l-assenjazzjoni ta’ CVE huwa ta’ tliet xhur (jiġifieri, għall-ewwel is-soluzzjoni hija pperċepita bħala bug regolari, iżda biss wara diversi xhur jidher ċar li l-vulnerabbiltà ġiet iffissata).
Bħala riżultat, mingħajr fergħa separata b'soluzzjonijiet għall-vulnerabbiltajiet u mingħajr ma jirċievu informazzjoni dwar il-konnessjoni tas-sigurtà ta 'problema partikolari, il-manifatturi ta' prodotti bbażati fuq il-kernel tal-Linux jitħallew jittrasferixxu kontinwament it-tiswija kollha mill-aħħar fergħat stabbli. Iżda dan ix-xogħol jeħtieġ ħafna xogħol u jiffaċċja reżistenza fil-kumpaniji minħabba l-biża 'tal-emerġenza ta' bidliet rigressivi li jistgħu jfixklu l-operat normali tal-prodott.
Ejja nfakkru li skont Linus Torvalds, l-iżbalji kollha huma importanti u l-vulnerabbiltajiet m'għandhomx ikunu separati minn tipi oħra ta 'żbalji u allokati għal kategorija ta' prijorità ogħla separata. Din l-opinjoni hija spjegata mill-fatt li għal żviluppatur ordinarju li ma jispeċjalizzax fi kwistjonijiet ta’ sigurtà, il-konnessjoni bejn soluzzjoni u vulnerabbiltà potenzjali mhijiex ovvja (għal ħafna soluzzjonijiet, verifika separata biss tagħmilha possibbli li wieħed jifhem li jikkonċernaw is-sigurtà. ). Skont Linus, speċjalisti tas-sigurtà mit-timijiet responsabbli għaż-żamma tal-pakketti tal-kernel fid-distribuzzjonijiet tal-Linux għandhom ikunu involuti fl-identifikazzjoni ta 'vulnerabbiltajiet potenzjali mill-fluss ġenerali ta' garża.
Kees Cook jemmen li l-unika soluzzjoni biex tinżamm is-sigurtà tal-qalba bi spiża raġonevoli fit-tul hija li l-kumpaniji jċaqalqu l-inġiniera involuti fil-porting ta’ soluzzjonijiet għal bini ta’ kernel lokali fi sforz konġunt u kkoordinat biex jinżammu s-soluzzjonijiet u l-vulnerabbiltajiet fil-qalba prinċipali (upstream). ). Fil-forma attwali tagħha, ħafna manifatturi jużaw mhux l-aħħar verżjonijiet tal-qalba fil-prodotti tagħhom u jġorru lura s-soluzzjonijiet interni, i.e. Jirriżulta li l-inġiniera f'kumpaniji differenti jidduplikaw ix-xogħol ta 'xulxin, u jsolvu l-istess problema.
Pereżempju, jekk 10 kumpaniji, kull waħda b'inġinier wieħed li backporting l-istess soluzzjoni, riassenjaw lil dawk l-inġiniera biex jiffissaw bugs fil-upstream, imbagħad minflok ma backporting fix waħda, jistgħu jiffissaw 10 bugs differenti għall-benefiċċju komuni jew jissieħbu fir-reviżjoni tal-proposti bidliet u jipprevjenu buggy code milli jiġu inklużi fil-kernel. Ir-riżorsi jistgħu wkoll jiġu ddedikati għall-ħolqien ta' għodod ġodda għall-ittestjar u l-analiżi tal-kodiċi li jippermettu skoperta bikrija ta' klassijiet komuni ta' żbalji li joħorġu għal darb'oħra.
Kees Cook jissuġġerixxi wkoll b'mod aktar attiv li juża ttestjar awtomatizzat u fuzzing direttament fil-proċess ta 'żvilupp tal-qalba, bl-użu ta' sistemi ta 'integrazzjoni kontinwa u l-abbandun tal-ġestjoni tal-iżvilupp arkajka permezz tal-email. Bħalissa, l-ittestjar effettiv huwa mxekkel mill-fatt li l-proċessi ewlenin tal-ittestjar huma separati mill-iżvilupp u jseħħu wara li jiġu ffurmati r-rilaxxi. Ċwievet irrakkomandaw ukoll li tuża lingwi li jipprovdu livell ogħla ta 'sigurtà, bħal Rust, meta jiżviluppaw biex jitnaqqas in-numru ta' żbalji.
Sors: opennet.ru