Безопасность ядра сейчас: уникальный метод Linux для защиты кода

На саммите Open Source в Японии разработчик Linux Грег Кроа-Хартман подводит итоги текущего состояния и будущих проблем безопасности ядра, включая призрак государственного регулирования и существенную боль от непрерывных обновлений.

Грег Кроа-Хартман из Linux Foundation на этой неделе выступил с обширным докладом о текущем состоянии и будущих проблемах безопасности ядра Linux. Выступая на саммите открытого исходного кода (OSS) в Японии в 2023 году, Кроа-Хартман — специалист по сопровождению стабильного ядра Linux и видный член группы безопасности ядра Linux — пролил свет на развивающуюся ситуацию в области безопасности программного обеспечения с открытым исходным кодом, проблемы регулирования и ответ ядра Linux на эти проблемы.

Не проходит и дня, чтобы не возникала проблема с безопасностью программного обеспечения, и сейчас правительства пытаются указать, как компаниям и организациям следует смягчать проблемы безопасности. Есть только одна проблема: правительства едва понимают, как использовать программное обеспечение, не говоря уже о том, как разработчики с открытым исходным кодом создают программное обеспечение.

Например, предложенный Европейским Союзом Закон о киберустойчивости (CRA) преисполнен добрых намерений, но он плохо подходит для всех, кто создает программное обеспечение с открытым исходным кодом. Хотя самая последняя версия намного лучше, как отметил Кроа-Хартман, она по-прежнему означает, что, поскольку «весь мир продает свои устройства и продукты в ЕС, это будет определять их требования к безопасности».

Готовы ли мы справиться с этой новой волной регулирования? Нет, это не так.

Что касается сообщества Linux, Кроа-Хартман сказал, что команда безопасности ядра Linux по своей сути реагирует, в отличие от других команд безопасности, которые занимают проактивную позицию. С момента своего официального создания в 2005 году команда работала неформально, без корпоративных связей и контрактов. Это обеспечивает нейтральность и гибкость в решении вопросов безопасности. Такой подход способствовал укреплению доверия между компаниями и эффективному управлению и решению проблем безопасности.

«Есть и другие группы, команды по безопасности ядра и другие проекты, — добавил он, — которые проявляют инициативу. Но мы этим не занимаемся. Мы просто реагируем на проблемы».

И есть много проблем, которые нужно обойти. Например, Кроа-Хартман подчеркнул текущие проблемы с безопасностью оборудования, особенно после появления таких уязвимостей, как Spectre и Meltdown. Действительно, как он отметил, прошло более трех лет с тех пор, как появились эти серьезные ошибки процессора, и хотя «они продолжают пытаться исправить их аппаратно, несколько часов назад было объявлено еще об одной. Так что конца этому в ближайшее время не будет». ."

Это подчеркивает сложность борьбы с эмбарго на аппаратное обеспечение и более длительные циклы разработки аппаратного обеспечения по сравнению с программным обеспечением. В идеале Кроа-Хартман хочет, чтобы компании-производители оборудования «быстрее входили в курс дела», и это мнение разделяют правительства и регулирующие органы.

Кроа-Хартман также отметил, что «многие люди [сегодня] не осознают, что, хотя модель коммерческого распространения Linux не умерла, она уже далеко не большинство. 80% серверов и систем в мире работают бесплатно и проекты с открытым исходным кодом на основе Debian, Fedora или openSUSE», а не Red Hat Enterprise Linux (RHEL) или SUSE Linux Enterprise Server (SLES).

Эта реальность создает сложные проблемы безопасности, поскольку, как объяснил Кора-Хартман, «сообщества, которые работают с этими проектами с открытым исходным кодом, не могут подписать соглашение о неразглашении (NDA), потому что члены их сообщества живут в других странах или работают в разных компаниях. "

Вместо этого группа безопасности разработчиков ядра Linux представляет собой «специальную неформальную группу» без контракта. Кроа-Хартман продолжил: «И это было лучшее, что могло когда-либо случиться, чтобы подготовить почву для того, чтобы мы делали это нейтральным для компании и правительства способом. Это избавило нас от многих проблем».

Как это работает: люди отправляют отчеты о безопасности членам группы. Нет даже списка адресов электронной почты. Есть лишь небольшая группа, которая не представляет никаких компаний. Кроа-Хартман добавил: «Все это хранится в тайне, и с 2005 года у нас не было никаких утечек».

Что они делают, продолжил Кроа-Хартман, «это сортируют отчеты, выясняют, что не так, и привлекают соответствующих разработчиков, если их еще нет в списке, чтобы как можно скорее создать исправление. Затем этот патч публикуется. включен в стабильную ветку Linux.

Когда они говорят «как можно скорее», они имеют в виду именно это. «Как только мы получим исправление, мы продержимся максимум семь дней. Это, — продолжил Кроа-Хартман, — после того, как мы получим исправление. Когда мы получим отчет, мы начнем работать над ним как можно скорее. . У нас были некоторые проблемы с сетью, на которые ушло больше года. Думаю, мы потратили 18 месяцев, прежде чем исправили их должным образом. Но как только мы это исправили, исправление вступит в силу».

Группа также не делает анонсов исправлений безопасности. «Мы ничего не анонсируем. Мы не говорим ничего особенного. Мы просто вставляем это так, чтобы это выглядело как обычное исправление ошибки».

Да, это действительно злит людей. Но, как объяснил Кроа-Хартман, «для людей из команды безопасности ошибка есть ошибка. В исправлениях безопасности нет ничего особенного. И если мы называем исправления безопасности особенными, это означает, что другие исправления не являются особенными». ."

Это ошибка, поскольку, по словам Кроа-Хартмана, «любая ошибка потенциально может стать проблемой безопасности на уровне ядра». Небольшое исправление ошибки, которое он сделал много лет назад в TTY, второстепенной подсистеме современного Linux, оказалось убийственной дырой в безопасности. Это позволило любому получить root-права в системах RHEL. Никогда не знаешь, где и когда возникнет проблема безопасности.

Кроа-Хартман также заметил, что, хотя «ядро Linux содержит около 30 миллионов строк кода, вы используете только около двух миллионов строк на вашем сервере, 4 миллиона на вашем телефоне и полтора миллиона на вашем телевизоре. Но мы этого не делаем». Мы не знаем, что вы используете. Linux есть везде: в ваших машинах, на спутниках и в машинах для дойки коров. Мы не знаем, как вы используете Linux. Я не знаю, какова модель безопасности». Поэтому все и вся должно считаться существенным.

Итак, что вы можете с этим сделать, чтобы защитить себя? Кроа-Хэтмэн подчеркнул, что вам следует всегда использовать последнее долгосрочное стабильное (LTS) ядро.

К сожалению, очень немногие дистрибутивы Linux делают это. Он раскритиковал компании, которые не могут регулярно обновлять свои ядра. Устаревшие системы, с его точки зрения, по своей сути небезопасны.

Это не только его мнение. После многих лет исследований Кроа-Хартман процитировал команду безопасности Google Android, которая обнаружила, что стабильные ядра Linux устраняют все известные недавние проблемы безопасности до того, как о них сообщается. У них есть документальные доказательства того, что использование стабильных ядер всегда работает и что ваши системы будут в безопасности. Как инженер ядра Google Linux Кис Кук сказал: «Так что же делать поставщику? Ответ прост, хотя и болезненный: постоянно обновлять ядро до последней версии, основной или стабильной».