Kees Cook vaatii parempaa työn organisointia Linuxissa virheenkorjausten suhteen

Kees kokki Teen blogikirjoituksen, jossa on ilmaissut huolensa virheiden korjausprosessista käynnissä Linux -ytimen vakailla haaroilla ja se on sitä mainita, että viikoittain mukana on noin sata korjausta vakailla haaroilla, mikä on liikaa ja vaatii paljon työtä Linux-ytimen tuotteiden ylläpitämiseksi.

Keesin mukaan, ytimen virheiden käsittelyprosessi ohitetaan ja ytimestä puuttuu vähintään 100 lisäkehittäjää työskentelemään koordinoidusti tällä alalla. Sen lisäksi, että mainitaan, että suuret ytimen kehittäjät korjaavat säännöllisesti virheitä, mutta ei ole takeita siitä, että nämä korjaukset siirtyvät kolmannen osapuolen ytimen variantteihin.

Näin tehdessään hän mainitsee, että eri Linux-ytimiin perustuvien tuotteiden käyttäjillä ei myöskään ole mahdollisuutta valvoa, mitkä viat on korjattu ja mitä ytimiä käytetään heidän laitteillaan. Viime kädessä myyjät ovat vastuussa tuotteittensa turvallisuudesta, mutta kun vakaiden ytimen haaroilla on erittäin suuri määrä korjauksia, he joutuivat valitsemaan siirtämään kaikki korjaustiedostot, siirtämään valikoivasti tärkeimmät tai jättämään huomiotta kaikki korjaustiedostot. .

Ylempien ytimien kehittäjät voivat korjata virheitä, mutta heillä ei ole hallintaa siitä, mitä jatkokäyttäjä päättää sisällyttää tuotteisiinsa. Loppukäyttäjät voivat valita tuotteitaan, mutta heillä ei yleensä ole hallintaa siitä, mitkä viat on korjattu tai mitä ydintä käytetään (ongelma itsessään). Viime kädessä myyjät ovat vastuussa tuotteen ytimien turvallisuudesta.

Kees kokki ehdottaa, että optimaalinen ratkaisu olisi siirtää vain tärkeimmät korjaukset ja haavoittuvuudet, mutta suurin ongelma on erottaa nämä virheet yleisestä kulusta, koska suurin osa esiin tulevista ongelmista johtuu C -kielen käytöstä, joka vaatii paljon huolellisuutta työskennellessään muistin ja osoittimien kanssa.

Mikä pahempaa, monia mahdollisia haavoittuvuuskorjauksia ei ole merkitty CVE -tunnisteilla tai ne eivät saa CVE -tunnusta jonkin aikaa korjaustiedoston julkaisemisen jälkeen.

Tällaisessa ympäristössä valmistajien on erittäin vaikeaa erottaa pienet korjaukset tärkeistä turvallisuusongelmista. Tilastojen mukaan yli 40% haavoittuvuuksista poistetaan ennen CVE -osoittamista, ja korjauksen julkaisun ja CVE -määrityksen välinen viive on keskimäärin kolme kuukautta (eli alussa ratkaisu nähdään yleisenä virheenä,

Tämän seurauksena ei ole erillistä haaraa, jossa on korjauksia haavoittuvuuksiin etkä saa tietoja yhteydestä tämän tai toisen ongelman turvallisuuteen, Linux-ydinpohjaisten tuotteiden valmistajien on jatkuvasti siirrettävä kaikki korjaukset uusista vakaista haaroista. Tämä työ on kuitenkin työvoimavaltaista, ja yritykset vastustavat sitä, koska pelätään regressiivisiä muutoksia, jotka voivat häiritä tuotteen normaalia toimintaa.

Keys Cook uskoo, että ainoa ratkaisu pitää ydin turvassa kohtuullisin kustannuksin pitkällä aikavälillä on korjaustiedostojen siirtäminen hulluihin ydinrakenteisiinTyöskentelen yhdessä koordinoidusti ylläpitää korjauksia ja haavoittuvuuksia ylävirran ytimessä. Nykyään monet myyjät eivät käytä uusimpia ytimen versioita tuotteissaan ja takaportin korjauksissa yksinään, mikä tarkoittaa, että eri yritysten insinöörit kopioivat toistensa töitä ja ratkaisevat saman ongelman.

Jos esimerkiksi kymmenen yritystä, joista jokaisella on insinööri, joka tukee samoja korjauksia, ohjaa nämä insinöörit korjaamaan virheitä alkupään, sen sijaan, että siirtäisivät yhden korjauksen, ne voisivat korjata 10 erilaista virhettä kokonaishyödyn vuoksi tai kokoontua tarkistamaan virheet. Ehdotetut muutokset . Ja vältä viallisen koodin lisäämistä ytimeen. Resursseja voitaisiin käyttää myös uusien koodianalyysi- ja testaustyökalujen luomiseen, jotka havaitsisivat automaattisesti varhaisessa vaiheessa tyypilliset virheluokat, jotka nousevat esiin uudestaan ​​ja uudestaan.

Keys Cook ehdottaa myös automaattisen testauksen ja sumennuksen aktiivisempaa käyttöä suoraan ytimen kehitysprosessissa, käytä jatkuvia integraatiojärjestelmiä ja luopu arkaaisesta kehityksen hallinnasta sähköpostitse.

lähde: https://security.googleblog.com


Artikkelin sisältö noudattaa periaatteita toimituksellinen etiikka. Ilmoita virheestä napsauttamalla täällä.

Ole ensimmäinen kommentti

Jätä kommentti

Sähköpostiosoitettasi ei julkaista.

*

*

  1. Vastuussa tiedoista: Miguel Ángel Gatón
  2. Tietojen tarkoitus: Roskapostin hallinta, kommenttien hallinta.
  3. Laillistaminen: Suostumuksesi
  4. Tietojen välittäminen: Tietoja ei luovuteta kolmansille osapuolille muutoin kuin lain nojalla.
  5. Tietojen varastointi: Occentus Networks (EU) isännöi tietokantaa
  6. Oikeudet: Voit milloin tahansa rajoittaa, palauttaa ja poistaa tietojasi.