Zespół ds. bezpieczeństwa Linuksa wydaje 60 CVE tygodniowo, ale bez stresu. Zrób to zamiast tego
W kręgach bezpieczeństwa biuletyny dotyczące typowych luk w zabezpieczeniach i zagrożeń mogą być wręcz przerażające. Jednak w Linuksie wszystko jest jak zwykle.
Hongkong: Podczas KubeCon i Open Source Summit China Greg Kroah-Hartman, opiekun stabilnego jądra Linuksa, chce, abyś wiedział, że średnio tygodniowo zespół ds. bezpieczeństwa Linuksa wydaje sześćdziesiąt — 60 — - Biuletyny bezpieczeństwa dotyczące typowych luk i zagrożeń (CVE). Nie stresuj się. Takie jest życie w Linuksie.
Ale najpierw oto kilka słów o Linuksie i CVE. Linux rządzi światem. Jest na Twoim telefonie z Androidem; jest w twoim urządzeniu klimatyzacyjnym; obsługuje sieć, zasila superkomputery; chmura; a może nawet twój komputer. Jakkolwiek to nazwać, Linux to obsługuje. Tak, nawet iPhone'y, które używają go do 4G i 5G.
Greg Kroah-Hartman na szczycie Open Source w Chinach, 2024
CVE śledzą problemy związane z bezpieczeństwem oprogramowania na świecie. W przypadku CVE lub przynajmniej CVE w systemie Linux oznacza to zapierające dech w piersiach problemy. Utrata danych z powodu błędu? Nie CVE. Najnowsza aktualizacja właśnie spowolniła Twój komputer do granic możliwości? Nie, nie CVE. Zabiłeś swój serwer jak robak uderzający z dużą prędkością w przednią szybę? Teraz mówimy o CVE.
W lutym 2024 r. zespół programistów jądra Linuksa przejął przypisywanie CVE dla jądra Linuksa. Zrobili to, ponieważ nowe regulacje rządowe, np. te z Unii Europejskiej, wymagały od projektów open source wzięcia odpowiedzialności za znane luki.
Ponadto, jak wyjaśniła wówczas Kroah-Hartman, ponieważ chociaż CVE „system jest ogólnie uszkodzony pod wieloma względami… ta zmiana pozwala nam wziąć za to większą odpowiedzialność i, miejmy nadzieję, z czasem ulepszyć ten proces. " Zadbano także o to, aby żadna inna grupa nie mogła przypisać CVE Linuksa bez wyrażenia opinii programistów Linuksa.
Czekać. Czy 60 CVE tygodniowo na temat problemów, które mogą zatrzymać komputer, nie jest powodem do zmartwień? Cóż, tak. Potem znowu nie.
Widzisz, wyjaśniła Kroah-Hartman, obecnie jądro Linuksa ma „38 milionów linii kodu. Używasz tylko niewielkiej części tego. Mój laptop wykorzystuje około półtora miliona linii kodu…. Twój telefon, najbardziej złożona bestia na rynku, wykorzystuje około 4 milionów linii kodu, więc tak naprawdę używasz małej części, ale każdy używa innej części i warto o tym pamiętać.
Zespół jądra Linuksa nie ma pojęcia, której części używasz w swoim produkcie. Ich zadaniem jest stworzenie podstawowego kodu, którego wszyscy używają. Każdy z własną, unikalną konfiguracją i przypadkiem użycia.
Kroah-Hartman zacytowała Bena Hawkesa, eksperta ds. bezpieczeństwa komputerów, hakera w białym kapeluszu i byłego menedżera Google Project Zero, który ładnie podsumował sytuację: „CVE nie radzi sobie zbyt dobrze z wychwytywaniem niuansów ekosystemu jądra Linuksa. Trudno uchwycić fakt, że błąd może być bardzo poważny w jednym typie wdrożenia, nieco ważny w innym lub w ogóle nieistotny - a jednocześnie błąd może powodować to wszystko .”
Dlatego tak wiele CVE wylewa się w tak szalonym tempie. Ponieważ przy tak wielu różnych systemach i przypadkach użycia każdy błąd może stanowić błąd bezpieczeństwa. Jak powiedział kiedyś Linus Torvalds, „problemy z bezpieczeństwem to tylko błędy”.
Dodam, że jest to spowodowane reakcją członków zespołu ds. bezpieczeństwa jądra. Reagują na zgłoszone błędy i luki. Segregują przychodzące raporty o błędach, ustalają, czy istnieje problem bezpieczeństwa i współpracują z odpowiednimi opiekunami, aby naprawić błąd. Nie szukają błędów.
Gdy poprawka jest dostępna, jest ona dołączana do cotygodniowych stabilnych wydań jądra, które są udostępniane użytkownikom tak szybko, jak to możliwe. Do użytkowników należy przetestowanie i określenie, czy konkretny problem wpływa na ich konkretny przypadek użycia.
Załoga ta nie stosuje embargo i nie korzysta z zapowiedzi. Dlaczego nie? Ponieważ wierzą - nie bez powodu - że wszystkie te podejścia prowadzą do wycieków informacji. Zamiast tego dążą do jak najszybszego udostępnienia poprawek użytkownikom. Zwykle robi się to w ciągu tygodnia od udostępnienia poprawki. Takie podejście gwarantuje, że użytkownicy zostaną szybko powiadomieni o problemach związanych z bezpieczeństwem i będą mogli odpowiednio zaktualizować swoje systemy.
Te stabilne wydania zawierają poprawki błędów i problemy bezpieczeństwa przeniesione z głównego jądra. Aby zapewnić im stabilność i bezpieczeństwo, zespół opiera się na dużej społeczności testerów, w tym firmach i osobach prywatnych.
To, co możesz zrobić, aby zapewnić bezpieczeństwo swojego systemu - niezależnie od tego, czy jest to samochód, czy 10 000 serwerów w centrum danych - jest proste. Zasada Kroaha-Hartmana brzmi: „Jeśli nie używasz najnowszego stabilnego/długoterminowego systemu jądra, twój system jest niepewny”.
Oznacza to aktualizację jądra prawie co tydzień. Większość z Was uzna tę myśl za równie przerażającą, jak radzenie sobie z 60 CVE tygodniowo.
Rzecz w tym, powiedziała Kroah-Hartman: „Mamy dowód, że można tego dokonać. Debian obsługuje ponad 80% serwerów na świecie i korzystają one ze stabilnych aktualizacji jądra. Android, miliardy urządzeń, pobiera każdą stabilną aktualizację jądra na z kilkumiesięcznym opóźnieniem, ale oni to robią i dbają o bezpieczeństwo swoich urządzeń. Nie ma nic bardziej skomplikowanego niż wbudowane w system i nie ma nic bardziej powszechnego i łatwego w użyciu niż serwer Debiana.
Ma nadzieję, że w końcu wszyscy zaczną używać szybko aktualizowanych, ale coraz bezpieczniejszych, stabilnych jąder Linuksa. Ludzie, podsumował, „myślą, że brak zmian jest stabilny, ale jest to prawdą tylko wtedy, gdy świat wokół ciebie się nie zmienia. Pomyśl o niesławnych błędach Intel Spectre i Meltdown. Twój sprzęt się nie zmienił. Świat zrozumiał Twój sprzęt jest uszkodzony. Jeśli więc korzystasz z zamkniętego systemu, który nigdy się nie zmienia, niektóre banki mają w kącie komputery typu mainframe, które nigdy nie łączą się ze światem zewnętrznym. Graj tak na zawsze. W przeciwnym razie, jeśli jesteś przywiązany do świata a świat się zmienia, lepiej bądź na bieżąco.”
Krótko mówiąc, nie przejmuj się samą liczbą CVE. Pamiętaj tylko, aby sprawdzić, czy nic w najnowszym zestawie nie wpływa na Twoją konfigurację. Zdecydowanie częściej tak się nie stanie. Aby jednak być naprawdę bezpiecznym, zacznij aktualizować jądro Linuksa znacznie częściej niż większość z Was dzisiaj.