Die Geschichte hinter Sicherheitsschwächen im Linux-Kernel

Die Geschichte hinter Sicherheitsschwächen im Linux-Kernel

Es gibt zwei Punkte im Internet, die Sie überprüfen müssen, wenn Sie der Sicherheit folgen. Zuerst ist da dieser Film Youtube das gibt die Geschichte von Linux. Und dann ist da noch eine Geschichte Die Washington Post Das erklärt, dass einige Leute besorgt sind, dass die Leute, die den Linux-Kernel warten, dort keine Sicherheitsprobleme beheben. Das Verfahren zum Beheben von Fehlern im Linux-Kernel ist so langsam, dass die Zeitung es als 'evolutionär' bezeichnet.



Um die Kontroverse zu verstehen und selbst zu entscheiden, ob es Sicherheitsprobleme mit Linux gibt, müssen Sie sich die Geschichte ansehen, wie es entwickelt wurde und wer es jetzt verwaltet.



Hinter dem Linux-Betriebssystem stehen zwei Personen: Richard Stallman und Linus Torvalds.

Richard Stallman startete das Projekt zum Schreiben des GNU-Betriebssystems, das wir jetzt Linux nennen. Er ärgert sich, dass die Leute es nicht beim richtigen Namen GNU / Linux nennen. Aber er ist froh, sein übergeordnetes Ziel erreicht zu haben, etwas zu schreiben und es kostenlos zu verschenken.



Richard Stallman startete die GNU Organisation mit der Idee, dass niemand für Microsoft Windows oder eine UNIX-Version wie Solaris bezahlen muss. (AT & T hat UNIX erfunden, es aber nicht verschenkt oder in ein kommerzielles Produkt verwandelt.) Jetzt wird viel Software unter dem Namen ' GNU-Lizenz Dies bedeutet, dass es kostenlos ist, wenn Sie bei einer Änderung bereit sind, diese Änderungen auch kostenlos weiterzugeben, damit sie wieder in das Produkt aufgenommen werden können.

Stallman und sein Team konzentrierten sich darauf, alles unter Linux zu schreiben, außer den Kernel. Sie programmierten den Befehl ls, schrieben Openoffice, bauten den GNOME-Desktop und all die anderen Dinge, die Linux nutzbar machen. Aber aus irgendeinem Grund haben sie keinen eigenen Kernel geschrieben. Sie müssen dies an einem Punkt getan haben, sonst wäre es nicht möglich gewesen, es auf einem PC zu starten. Der Kernel ist der wichtigste Teil. Dadurch funktioniert die Hardware mit dem Betriebssystem. Es erledigt Aufgaben wie das Planen von Elementen in und aus dem Speicher und der CPU sowie das Schreiben von Daten auf die Festplatte. Stall wandte sich dafür an Linus Torvalds, zum großen Teil wegen der Eleganz und Einfachheit dessen, was er schrieb.

Linus hatte seine eigene Version von UNIX geschrieben, weil es ihn interessierte. Er nannte es sich selbst und gab es dann weg. Dann suchte er nach einer Möglichkeit, damit Geld zu verdienen, hielt es aber frei und nahm Jobs von Leuten an, die helfen könnten, seine Adoption zu verbreiten. Red Hat gab ihm einige Aktienoptionen, die ihm genug Geld gaben, um ein Haus für Bargeld zu kaufen.



Wo finde ich meine Netzwerkanmeldeinformationen?

Linus ging zur Arbeit für eine Organisation, die sich jetzt in die verwandelt hat Linux Foundation . Dort ist er für die Entwicklung des Linux-Kernels verantwortlich. Dort ist er ein wahrer Gott geworden. Ohne seine Zustimmung gelangt nichts in den Linux-Kernel. Er hat Leute in seiner Nähe, die Code von Tausenden von Programmierern auf der ganzen Welt nehmen und dann das, was sie für notwendig halten, an Torvald zur Genehmigung weitergeben. Dann laden die Leute, die Red Hat, Ubuntu usw. schreiben, den Linux-Kernel-Quellcode herunter und fügen ihn ihrem Quellcode hinzu, wenn sie ihre Linux-Version erstellen.

Richard Stallman und Linus TorvaldsDa Linux alles von Debian, Ubuntu, Android, der New Yorker Börse, medizinischen Geräten und vielem mehr mit Strom versorgt, waren einige Leute besorgt, dass Linux Sicherheitsprobleme hat, die Linus nicht behoben hat. Doch niemand außer Linus Torvald hat die Autorität, etwas dagegen zu unternehmen. Wenn sie ihr eigenes Produkt schreiben würden, würden sie etwas bauen, das von der weltweiten Community der Linux-Entwickler nicht unterstützt wird. Das wäre eine große Verantwortung.

Hier entsteht die Kontroverse. Torvald unterscheidet nicht zwischen Softwarefehlern, die nur Fehler verursachen, und Softwarefehlern, die eine Sicherheitslücke aufdecken. Sein Ziel ist es, sicherzustellen, dass die Software nicht kaputt geht. Deshalb ist er sehr vorsichtig, Änderungen vorzunehmen, die das, was er nennt, kaputt machen würden Benutzerraum , was die grundlegendsten Funktionen bedeutet.

fbi hat mein telefon gesperrt ist es echt

Linus ist der Ansicht, dass Stabilität und Leistung die wichtigsten Faktoren sind, wenn es darum geht, welche Änderungen am Linux-Kernel vorgenommen werden müssen. Sie können dieses Gefühl sehen, wenn Sie sich Debian-Versionen ansehen, das Betriebssystem, das die meisten Websites auf der ganzen Welt antreibt. Sie haben Veröffentlichungen beschriftet stabil und neueste . Einige der stabilen sind ziemlich alt. Möglicherweise fehlen Treiber für die neueste Hardware, aber sie werden seit Jahren ausgeführt, einige davon ohne jemals neu gestartet zu werden.

Aber dieser Ansatz passt bei manchen Menschen nicht gut. Zum Beispiel hat die NSA eine eigene Linux-Version mit einem eigenen Kernel namens geschrieben SELinux oder sicheres Linux. Obwohl die NSA eine amerikanische Spionageagentur ist, verschenken sie ihre Software immer noch kostenlos. (Die meisten Sicherheitsmaßnahmen wie der RSA-Verschlüsselungsalgorithmus, openssl, Tor usw. stammten aus Projekten, die vom US-Militär finanziert wurden. All das ist kostenlos.) Dann gibt es das GRSecurity .

Der Autor von GRSecurity kritisiert insbesondere die mangelnde Bereitschaft von Linus Torvald, Sicherheitsprobleme unter Linux anzugehen. Seine Linux-Version enthält also Sicherheitshärtung, die seiner Meinung nach in der offiziellen Linux-Version enthalten sein sollte. Ein Beispiel hierfür ist die Randomisierung von Speicheradressen. Dadurch werden gemeinsam genutzte Bibliotheken an zufälligen Adressen im Speicher geladen. Microsoft hat dies getan, um zu verhindern, dass Hacker Windows hacken. Die Idee ist, anstatt beispielsweise die Subroutine zu laden, die Daten an den Netzwerkadapter unter der Adresse FFFF sendet, diese an zufälligen Orten zu speichern. Dann kann ein Hacker keinen Assembler-Code in eine Webseite einfügen und den Browser anweisen, zu FFFF zu wechseln, um diese oder eine Unterroutine mit einer Sicherheitslücke zu laden, die er ausnutzen kann. Der Hacker müsste danach suchen. Was sie tun. Es heißt Sprühen .

Wenn Journalisten mögen Die Washington Post Schreiben Sie über solche technischen Themen, sie sollten Experten zitieren und selbst keine Schlussfolgerungen ziehen. Zum Beispiel schrieben sie:

„Linux-Versionen haben sich in den letzten Jahren als anfällig für schwerwiegende Fehler erwiesen. AshleyMadison.com, die Website, die außereheliche Angelegenheiten erleichtert und im Juli einen peinlichen Datenverstoß erlitten hat, hat Berichten zufolge Linux auf seinen Servern ausgeführt, ebenso wie viele Unternehmen. “ Aber dann sagen sie etwas ganz anderes und korrigieren sich auch selbst: 'Diese Probleme betrafen nicht den Kernel selbst.'

Das ist die Schlüsselfrage: ob es Sicherheitsprobleme im Kernel gibt oder ob diese in den Elementen liegen, die außerhalb des Kernels liegen, wie openssl oder vielleicht ein Netzwerk- oder Videotreiber. Es gab einige Kernel-Fehler, darunter einen, der von der italienischen Firma The Hacking Team gefunden wurde. Sie fanden einen Weg, Android-Telefone zu übernehmen und Kamera und Mikrofon einzuschalten. Das Hacking-Team ist ein Spionagegeschäft, das den Regierungen viel Geld für ihre Dienste in Rechnung stellt.

Torvalds hat Sicherheitsfragen abgelehnt. Er sagte dem Interviewer:

„Die Leute, die sich am meisten für dieses Zeug interessieren, sind völlig verrückt. Sie sind sehr schwarz und weiß. '

wie man Windows 10 einfriert

Sie können sich vorstellen, die Herrschaft über etwas so Wichtiges so lange zu behalten, dass jemand ein bisschen verrückt wird. Gelegentlich ist Linus Torvald definitiv ausgeflippt. Er hat E-Mails wie diese geschrieben:

„WIR BRECHEN DEN BENUTZERRAUM NICHT! Ernsthaft. Wie schwer ist diese Regel zu verstehen? Mit TOTAL CRAP unterbrechen wir insbesondere nicht den Benutzerraum. '

So ist die Situation heute. Die gute Nachricht ist, dass der Linux-Kernel Open Source ist. Wenn jemand einen schwerwiegenden Fehler findet, kann er dies veröffentlichen und die Entwickler dazu zwingen. Wenn das zu viel kostet, können die Entwickler von Red Hat usw. es selbst ändern und dann die offizielle Version hinzufügen, wenn die Entwickler von Torvald das beheben.