reklama

Linus Torvalds przeprasza, a ludzie od bezpieczeństwa obrzucają się 0-dayami

Strona główna Aktualności

O autorze

Hodowca maszyn wirtualnych i psów, poza tym stary linuksiarz, bonvivant i śmieszek. W 2012 roku napisał na DP o algorytmie haszowania Keccak i wciąż pamięta, jak on działa.

Słowa Linusa Torvaldsa o ludziach zajmujących się bezpieczeństwem IT („to cholerni idioci”) były za mocne – nawet jak na Linusa. On sam najwyraźniej zreflektował się, że przesadził – 20 pullrequestów w ciągu dnia, puchnący od kodu kernel i zbliżające się Święto Dziękczynienia wyprowadziły go z równowagi. Za swoje słowa więc przeprosił, wkrótce po tym publikując wpis, pouczający zajmujących się bezpieczeństwem ludzi jak powinni pracować. A jak wśród ekspertów od bezpieczeństwa? U nich po staremu, właśnie zaczęli ze sobą wojować, obrzucając się exploitami 0-day.

Twórca Linuksa podtrzymuje swoją opinię, że zabijanie niebezpiecznych procesów nie jest drogą do zwiększania bezpieczeństwa. Problem może i znika, ale znika w niewłaściwy sposób. Błąd nie zostaje naprawiony. Zanim badacze wezmą się więc za dalsze utwardzanie systemu, muszą wziąć sobie do serca mantrę „nie czyń szkód” i skupić się przede wszystkim na tym, by nie denerwować ani użytkowników, ani deweloperów.

W ostateczności liczą się tylko użytkownicy

Najgorszym rodzajem ludzi od bezpieczeństwa są ci, którzy myślą, że zwyciężyli, ponieważ powstrzymali nieuprawniony dostęp – tłumaczy Torvalds, podczas gdy z perspektywy programisty nic się nie zmieniło. Dla niego taki dostęp to tylko symptom błędu, który musi być zgłoszony, zdebugowany i naprawiony. Dla programisty końcowy efekt utwardzania jest dopiero początkiem jego pracy.

Z kolei dla użytkowników kiedy jakiś proces czy funkcjonalność zostaną zablokowane, to widzą to oni po prostu jako ujawnienie utajonego błędu. Wszystko działało – ale łatka utwardzająca coś zrobiła (pewnie coś drastycznego). Z perspektywy bezpieczeństwa to co było niebezpieczne teraz jest niegroźne.

Ale z perspektywy użytkownika utwardzenie było po prostu okropnym kłopotem, być może rujnującym ich pracę, a niczego nie naprawiającym. Przecież odkrytego błędu oni w ogóle nie postrzegali wcześniej jako problemu. Dlatego właśnie podstawową zasadą pracy nad kernelem jest nie psucie niczego użytkownikom.

Tylko użytkownicy mają bowiem w ostateczności znaczenie. Bez nich programy są bezcelowe, cała wieloletnia praca programistyczna jest bezcelowa. Bez użytkowników systemy mogą sobie być „bezpieczne”, ale cała praca nad bezpieczeństwem okazuje się tylko masturbacją, nie przynoszącą ostatecznie żadnej korzyści – deklaruje Linus.

Tak więc jeśli ktoś chce zwiększać bezpieczeństwo Linuksa, to musi zgłaszać odkryte błędy deweloperom, którzy rozwiążą je u podstaw i usuną w kolejnej aktualizacji kernela. Upodobanie do ubijania procesów musi odejść.

Dzieci lat 6 z exploitami w rękach

A co w tym czasie robią eksperci od linuksowego bezpieczeństwa? W ostatnich dniach możemy na Twitterze obserwować gry i zabawy Keesa Cooka (tego samego inżyniera Google’a, który został wcześniej zwyzywany przez Linusa Torvaldsa) oraz Brada Spenglera z projektu grsecurity. Zaczęło się od tego, że podczas ostatniego Linux Security Summit, Cook podczas swojego wystąpienia wychwalał praktyki bezpieczeństwa swojego zespołu pracującego nad Kernel Self Protection Project, twierdząc że są o wiele lepsze niż w wypadku grsecurity, a tworzony kod znacznie lepiej audytowany. Na dowód zaprezentował coś, co uważał za lukę 0-day w kodzie grsecurity – wcześniej nie zgłosiwszy jej deweloperom.

Spengler, człowiek znany z ogromnego ego, osobliwych reakcji na znajdowanie błędów w jego kodzie i otwartego lekceważenia zapisów licencji GPL w odpowiedzi zachował się równie kiepsko. Napisał exploit do luki 0-day w kodzie Cooka i opublikował go na Twitterze. Obserwujący ten spektakl użytkownicy mówią w zasadzie jednym głosem – to po prostu dziecinada. Czy ktoś się dziwi, że Linusowi puszczają nerwy?

© dobreprogramy
reklama

Komentarze

reklama