A nyílt forráskódú biztonság felhívja a kritikát
A múlt héten három új sebezhetőséget jelentettek be a lengyel biztonsági cég, az iSec Security Research, a legújabb Linux kernelben, amely lehetővé teheti a támadók számára, hogy kiváltsák a jogosultságokat a gépen, és végrehajtják a programokat root rendszergazdaként.
Ezek csak a legújabbak egy sor súlyos vagy kritikus biztonsági rést találtak a Linuxban az elmúlt hónapokban. A Microsoft igazgatótanácsa valószínűleg némi szórakozást kap, vagy legalábbis megkönnyebbülést érez, az iróniától, hogy a nyílt forráskódnak biztonságosabbnak kell lennie, és mégis ezek a kritikus hibák továbbra is megtalálhatók.
Hiányzik a védjegy, bár véleményem szerint azt állítja, hogy a nyílt forráskódú szoftverek alapértelmezés szerint biztonságosabbak. Először is úgy vélem, hogy a szoftver csak annyira biztonságos, mint a felhasználó vagy a rendszergazda, aki konfigurálja és karbantartja. Bár egyesek azzal érvelhetnek, hogy a Linux sokkal biztonságosabb a dobozban, egy tisztán linuxos felhasználó ugyanolyan bizonytalan, mint egy elhomályosult Microsoft Windows felhasználó.
A másik szempont az, hogy a fejlesztők még mindig emberiek. Az operációs rendszert alkotó több ezer millió kódból kifogásolhatónak tűnik azt mondani, hogy valami esetleg kihagyott, és végül sebezhetőséget fedeznek fel.
Ott van a különbség a nyílt forrású és a tulajdonos között. A Microsoft-t az EEye Digital Security értesítette az ASN.1 végrehajtásáról szóló hibákról nyolc hónappal, mielőtt nyilvánosan bejelentette a biztonsági rést és nyilvánosságra hozta a javítást. A nyolc hónap alatt a rosszfiúk felfedezték és kihasználták a hibát.
Másfelől a nyílt forráskódú szoftverek sokkal gyorsabban frissítik és frissítik. Olyan sok fejlesztő van hozzáféréssel a forráskódhoz, amely egy hiba vagy sérülékenység felfedezése után bejelentette, hogy a javítás vagy frissítés a lehető leggyorsabban felszabadul. A Linux hibás, de a nyílt forráskódú közösség úgy tűnik, sokkal gyorsabban reagál a kérdésekre, amikor felmerülnek, és sokkal gyorsabban reagálnak a megfelelő frissítésekkel, mintsem próbálják eltemetni a sebezhetőség meglétét addig, amíg meg nem közelítenek annak kezeléséhez.
Ez azt jelenti, hogy a Linux felhasználóknak tisztában kell lenniük ezekkel az új biztonsági résekkel, és biztosítaniuk kell, hogy folyamatosan tájékozódjanak a legfrissebb javításokról és frissítésekről a megfelelő Linux-gyártókról. Ezekkel a hibákkal kapcsolatban megjegyzendő, hogy távolról sem lehet hasznosítani. Ez azt jelenti, hogy a rendszer ezen támadásokkal való támadása megkívánja, hogy a támadó fizikailag hozzáférjen a géphez.
Számos biztonsági szakértő egyetért abban, hogy ha a támadó fizikailag hozzáfér a számítógéphez, akkor a kesztyűk ki vannak kapcsolva, és szinte minden biztonság végül megkerülhető. A legveszélyeztetettebbek a távoli kihasználtságok - olyan hibák, amelyek megtámadhatók a távolabbi vagy a helyi hálózaton kívüli rendszerektől - amelyek a legnagyobb veszélyt jelentik.
További információért nézze meg az iSec Security Research részletesen ismertetett biztonsági réseit.