কিস কুক আমি একটি ব্লগ পোস্ট করি যাতে বাগ সংশোধন প্রক্রিয়া সম্পর্কে উদ্বেগ প্রকাশ করেছে লিনাক্স কার্নেলের স্থিতিশীল শাখায় চলছে এবং এটিই উল্লেখ করুন যে সপ্তাহে সপ্তাহে প্রায় একশ সংশোধন অন্তর্ভুক্ত করা হয়েছে স্থিতিশীল শাখায়, যা খুব বেশি এবং লিনাক্স কার্নেল-ভিত্তিক পণ্যগুলি বজায় রাখার জন্য প্রচুর প্রচেষ্টা প্রয়োজন।
কিসের মতে, কার্নেল ত্রুটি পরিচালনার প্রক্রিয়াটি বাইপাস করা হয়েছে এবং কার্নেলে কমপক্ষে 100 অতিরিক্ত ডেভেলপারের অভাব রয়েছে এই এলাকায় একটি সমন্বিত পদ্ধতিতে কাজ করতে। এছাড়াও উল্লেখ করা হয়েছে যে প্রধান কার্নেল ডেভেলপাররা নিয়মিত বাগ সংশোধন করে, কিন্তু এই ফিক্সগুলি তৃতীয় পক্ষের কার্নেল ভেরিয়েন্টে বহন করবে এমন কোন গ্যারান্টি নেই।
এটি করার সময়, তিনি উল্লেখ করেছেন যে বিভিন্ন লিনাক্স কার্নেল-ভিত্তিক পণ্যগুলির ব্যবহারকারীদের নিয়ন্ত্রণ করার কোন উপায় নেই যে কোন বাগ সংশোধন করা হয়েছে এবং কোন কার্নেল তাদের ডিভাইসে ব্যবহার করা হয়েছে। চূড়ান্তভাবে, বিক্রেতারা তাদের পণ্যের নিরাপত্তার জন্য দায়ী, কিন্তু স্থিতিশীল কার্নেল শাখায় খুব বেশি হারে প্যাচগুলির মুখোমুখি হয়, তারা সমস্ত প্যাচগুলি স্থানান্তরিত করার পছন্দ করে, বেছে বেছে সবচেয়ে গুরুত্বপূর্ণগুলিকে স্থানান্তরিত করে, অথবা সমস্ত প্যাচ প্যাচ উপেক্ষা করে। ।
আপস্ট্রিম কার্নেল ডেভেলপাররা বাগ সংশোধন করতে পারে, কিন্তু ডাউনস্ট্রিম বিক্রেতা তাদের পণ্যগুলিতে কী অন্তর্ভুক্ত করতে চায় তার উপর তাদের কোন নিয়ন্ত্রণ নেই। শেষ ব্যবহারকারীরা তাদের পণ্য চয়ন করতে পারেন, কিন্তু কোন বাগ সংশোধন করা হয় বা কোন কার্নেল ব্যবহার করা হয় তার উপর তাদের সাধারণত কোন নিয়ন্ত্রণ থাকে না (একটি সমস্যা এবং নিজেই)। পরিশেষে, বিক্রেতারা তাদের পণ্যের কোর নিরাপদ রাখার জন্য দায়ী।
কিস কুক পরামর্শ দেয় যে সর্বোত্তম সমাধানটি কেবলমাত্র সবচেয়ে গুরুত্বপূর্ণ সমাধান এবং দুর্বলতাগুলি স্থানান্তর করা হবে, কিন্তু মূল সমস্যা হল এই ত্রুটিগুলিকে সাধারণ প্রবাহ থেকে আলাদা করা, যেহেতু বেশিরভাগ উদ্ভূত সমস্যাগুলি C ভাষা ব্যবহারের ফল, যার জন্য মেমরি এবং পয়েন্টার নিয়ে কাজ করার সময় অনেক যত্নের প্রয়োজন হয়।
বিষয়গুলিকে আরও খারাপ করার জন্য, অনেক সম্ভাব্য দুর্বলতা সংশোধনগুলি CVE শনাক্তকারীর সাথে ট্যাগ করা হয় না বা প্যাচ মুক্ত হওয়ার কিছু সময় পরে CVE সনাক্তকারী পায় না।
এই ধরনের পরিবেশে, নির্মাতাদের জন্য ছোটখাটো সংশোধনগুলি প্রধান নিরাপত্তা সমস্যা থেকে আলাদা করা খুব কঠিন। পরিসংখ্যান অনুসারে, CVE অ্যাসাইনমেন্টের আগে 40% -এর বেশি দুর্বলতা দূর করা হয়, এবং একটি ফিক্স রিলিজ এবং একটি CVE অ্যাসাইনমেন্টের মধ্যে গড় বিলম্ব তিন মাস (অর্থাৎ শুরুতে, একটি সাধারণ ভুল হিসাবে একটি সমাধান উপলব্ধি করে,
ফলস্বরূপ, দুর্বলতার জন্য সংশোধন সহ একটি পৃথক শাখা না থাকা এবং এই বা সেই সমস্যার নিরাপত্তার সাথে সংযোগ সম্পর্কে তথ্য গ্রহণ না করা, লিনাক্স কার্নেল-ভিত্তিক পণ্য নির্মাতাদের ক্রমাগত সব ফিক্স স্থানান্তর করতে হবে নতুন স্থিতিশীল শাখাগুলির। কিন্তু এই কাজ শ্রম-নিবিড় এবং প্রতিক্রিয়াশীল পরিবর্তনের আশঙ্কার কারণে কোম্পানির প্রতিরোধের মুখোমুখি হয় যা পণ্যের স্বাভাবিক কার্যক্রমকে ব্যাহত করতে পারে।
কী কুক বিশ্বাস করে যে দীর্ঘমেয়াদে যুক্তিসঙ্গত মূল্যে কার্নেলকে সুরক্ষিত রাখার একমাত্র সমাধান প্যাচ ইঞ্জিনিয়ারদের পোর্ট করা পাগল কার্নেল তৈরি করতেl সমন্বিত উপায়ে একসাথে কাজ করা আপস্ট্রিম কার্নেলে প্যাচ এবং দুর্বলতা বজায় রাখার জন্য। যেমনটি দাঁড়িয়ে আছে, অনেক বিক্রেতারা তাদের পণ্যগুলিতে সর্বশেষ কার্নেল সংস্করণ ব্যবহার করেন না এবং নিজেরাই ব্যাকপোর্ট ফিক্স করেন, অর্থাৎ দেখা যায় যে বিভিন্ন কোম্পানির প্রকৌশলীরা একে অপরের কাজের নকল করে, একই সমস্যা সমাধান করে।
উদাহরণস্বরূপ, যদি 10 টি কোম্পানি, প্রত্যেকেই একজন ইঞ্জিনিয়ারের সাথে একই ফিক্স সমর্থন করে, এই ইঞ্জিনিয়ারদের বাগ সংশোধন করতে পুনর্নির্দেশ করে, একটি ফিক্স মাইগ্রেশন করার পরিবর্তে, তারা সামগ্রিক সুবিধার জন্য 10 টি ভিন্ন বাগ সংশোধন করতে পারে বা বাগগুলি পর্যালোচনার জন্য একত্রিত হতে পারে। প্রস্তাবিত পরিবর্তনগুলি । এবং কার্নেলে বাগি কোড সহ এড়িয়ে চলুন। সম্পদগুলি নতুন কোড বিশ্লেষণ এবং পরীক্ষার সরঞ্জাম তৈরিতেও ব্যবহার করা যেতে পারে যা প্রাথমিক পর্যায়ে স্বয়ংক্রিয়ভাবে সনাক্ত করবে সাধারণ ত্রুটি ক্লাস যা বারবার ক্রপ করে।
কী কুক আরো সক্রিয়ভাবে স্বয়ংক্রিয় পরীক্ষা এবং ফাজিং ব্যবহার করার প্রস্তাব দেয় সরাসরি কার্নেল ডেভেলপমেন্ট প্রক্রিয়ায়, ক্রমাগত ইন্টিগ্রেশন সিস্টেম ব্যবহার করুন এবং ই-মেইলের মাধ্যমে বিকাশের প্রাচীন ব্যবস্থাপনা পরিত্যাগ করুন।
উৎস: https://security.googleblog.com