Κις Κουκ Κάνω μια ανάρτηση ιστολογίου στην οποία έχει εγείρει ανησυχίες για τη διαδικασία διόρθωσης σφαλμάτων συνεχίζεται στους σταθερούς κλάδους του πυρήνα Linux και είναι αυτό αναφέρετε ότι εβδομάδα με την εβδομάδα περιλαμβάνονται περίπου εκατό διορθώσεις σε σταθερούς κλάδους, κάτι που είναι πάρα πολύ και απαιτεί μεγάλη προσπάθεια για τη διατήρηση προϊόντων που βασίζονται στον πυρήνα Linux.
Σύμφωνα με τον Kees, η διαδικασία χειρισμού σφαλμάτων πυρήνα παρακάμπτεται και στον πυρήνα λείπουν τουλάχιστον 100 επιπλέον προγραμματιστές να εργάζονται συντονισμένα σε αυτόν τον τομέα. Αναφέρθηκε επίσης ότι οι κύριοι προγραμματιστές πυρήνα διορθώνουν τακτικά σφάλματα, αλλά δεν υπάρχει εγγύηση ότι αυτές οι διορθώσεις θα μεταφερθούν σε παραλλαγές πυρήνα τρίτων.
Με αυτόν τον τρόπο, αναφέρει ότι οι χρήστες διαφόρων προϊόντων που βασίζονται στον πυρήνα Linux δεν έχουν κανέναν τρόπο να ελέγξουν ποια σφάλματα διορθώνονται και ποιος πυρήνας χρησιμοποιείται στις συσκευές τους. Τελικά, οι προμηθευτές είναι υπεύθυνοι για την ασφάλεια των προϊόντων τους, αλλά αντιμέτωποι με ένα πολύ υψηλό ποσοστό επιδιορθώσεων σε σταθερούς κλάδους πυρήνα, ήρθαν αντιμέτωποι με την επιλογή της μετεγκατάστασης όλων των επιδιορθωμάτων, της επιλεκτικής μετανάστευσης των πιο σημαντικών, ή της παράβλεψης όλων των μπαλωμάτων. .
Οι προγραμματιστές του ανάντη πυρήνα μπορούν να διορθώσουν σφάλματα, αλλά δεν έχουν κανέναν έλεγχο για το τι επιλέγει ένας μεταγενέστερος πωλητής να ενσωματώσει στα προϊόντα τους. Οι τελικοί χρήστες μπορούν να επιλέξουν τα προϊόντα τους, αλλά γενικά δεν έχουν έλεγχο για το ποια σφάλματα διορθώνονται ή ποιος πυρήνας χρησιμοποιείται (πρόβλημα από μόνο του). Τελικά, οι προμηθευτές είναι υπεύθυνοι για τη διατήρηση των πυρήνων των προϊόντων τους ασφαλών.
Κις Κουκ προτείνει ότι η βέλτιστη λύση θα ήταν η μεταφορά μόνο των πιο σημαντικών διορθώσεων και τρωτών σημείων, αλλά το κύριο πρόβλημα είναι ο διαχωρισμός αυτών των σφαλμάτων από τη γενική ροή, καθώς τα περισσότερα από τα αναδυόμενα προβλήματα είναι συνέπεια της χρήσης της γλώσσας C, η οποία απαιτεί μεγάλη προσοχή κατά την εργασία με μνήμη και δείκτες.
Για να γίνουν τα πράγματα χειρότερα, πολλές πιθανές επιδιορθώσεις ευπάθειας δεν επισημαίνονται με αναγνωριστικά CVE ή δεν λαμβάνουν αναγνωριστικό CVE κάποια στιγμή μετά την κυκλοφορία της ενημερωμένης έκδοσης κώδικα.
Σε ένα τέτοιο περιβάλλον, είναι πολύ δύσκολο για τους κατασκευαστές να διαχωρίσουν μικρές επιδιορθώσεις από μεγάλα ζητήματα ασφάλειας. Σύμφωνα με στατιστικά στοιχεία, περισσότερο από το 40% των τρωτών σημείων καταργούνται πριν από την ανάθεση CVE και κατά μέσο όρο η καθυστέρηση μεταξύ μιας έκδοσης διορθώσεων και μιας ανάθεσης CVE είναι τρεις μήνες (δηλαδή, στην αρχή, μια λύση θεωρείται ως ένα κοινό λάθος,
Ως αποτέλεσμα, δεν έχει ξεχωριστό κλάδο με διορθώσεις για τα τρωτά σημεία και μη λήψη πληροφοριών σχετικά με τη σύνδεση με την ασφάλεια αυτού ή εκείνου του προβλήματος, οι κατασκευαστές προϊόντων που βασίζονται σε πυρήνα Linux πρέπει να μεταφέρουν συνεχώς όλες τις επιδιορθώσεις των νέων σταθερών κλάδων. Αλλά αυτή η εργασία είναι εντατική και αντιμετωπίζει αντίσταση από εταιρείες λόγω φόβων για οπισθοδρομικές αλλαγές που θα μπορούσαν να διαταράξουν την κανονική λειτουργία του προϊόντος.
Κλειδιά Μαγειρέψτε πιστεύει ότι η μόνη λύση για να διατηρηθεί ο πυρήνας ασφαλής με λογικό κόστος μακροπρόθεσμα είναι η μεταφορά των μηχανικών διορθώματος σε τρελά κτίσματα πυρήναΝα συνεργαστώ συντονισμένα για τη διατήρηση επιδιορθώσεων και τρωτών σημείων στον ανάντη πυρήνα. Όπως είναι, πολλοί προμηθευτές δεν χρησιμοποιούν τις τελευταίες εκδόσεις πυρήνα στα προϊόντα τους και διορθώνουν backport από μόνοι τους, δηλαδή, αποδεικνύεται ότι μηχανικοί από διαφορετικές εταιρείες αντιγράφουν τη δουλειά του άλλου, επιλύοντας το ίδιο πρόβλημα.
Για παράδειγμα, εάν 10 εταιρείες, καθεμία με μηχανικό που υποστηρίζει τις ίδιες επιδιορθώσεις, ανακατευθύνουν αυτούς τους μηχανικούς για να διορθώσουν σφάλματα ανάντη, αντί να μεταναστεύσουν μία επιδιόρθωση, θα μπορούσαν να διορθώσουν 10 διαφορετικά σφάλματα για το συνολικό όφελος ή να συγκεντρωθούν για να αναθεωρήσουν τα σφάλματα που προτείνονται . Και αποφύγετε να συμπεριλάβετε τον κωδικό σφάλματος στον πυρήνα. Οι πόροι θα μπορούσαν επίσης να χρησιμοποιηθούν για τη δημιουργία νέων εργαλείων ανάλυσης και δοκιμής κώδικα που θα ανιχνεύουν αυτόματα σε πρώιμο στάδιο τις τυπικές κατηγορίες σφαλμάτων που εμφανίζονται ξανά και ξανά.
Κλειδιά Μαγειρέψτε προτείνει επίσης να χρησιμοποιηθεί πιο ενεργά η αυτοματοποιημένη δοκιμή και το fuzzing απευθείας στη διαδικασία ανάπτυξης του πυρήνα, χρησιμοποιήστε συστήματα συνεχούς ολοκλήρωσης και εγκαταλείψτε την αρχαϊκή διαχείριση της ανάπτυξης μέσω ηλεκτρονικού ταχυδρομείου.
πηγή: https://security.googleblog.com