Greg Kroah-Hartman 解释内核社区是如何使 Linux 安全的
由于 Linux 使用量持续扩大,内核社区去提高这个世界上使用最广泛的技术 Linux 内核的安全性的重要性越来越高。安全不仅对企业客户很重要,它对消费者也很重要,因为 80% 的移动设备都使用了 Linux。在本文中,Linux 内核维护者 Greg Kroah-Hartman 带我们了解内核社区如何应对威胁。
bug 不可避免Greg Kroah-Hartman Linux 基金会
正如 Linus Torvalds 曾经说过的,大多数安全问题都是 bug 造成的,而 bug 又是软件开发过程的一部分。是软件就有 bug。
Kroah-Hartman 说: 就算是 bug,我们也不知道它是安全的 bug 还是不安全的 bug。我修复的一个著名 bug,在三年后才被 Red Hat 认定为安全漏洞 。
在消除 bug 方面,内核社区没有太多的办法,只能做更多的测试来寻找 bug。内核社区现在已经有了自己的安全团队,它们是由熟悉内核核心的内核开发者组成。
Kroah-Hartman 说: 当我们收到一个报告时,我们就让参与这个领域的核心开发者去修复它。在一些情况下,他们可能是同一个人,让他们进入安全团队可以更快地解决问题 。但他也强调,内核所有部分的开发者都必须清楚地了解这些问题,因为内核是一个可信环境,它必须被保护起来。
Kroah-Hartman 说: 一旦我们修复了它,我们就将它放到我们的栈分析规则中,以便于以后不再重新出现这个 bug。
除修复 bug 之外,内核社区也不断加固内核。Kroah-Hartman 说: 我们意识到,我们需要一些主动的缓减措施,因此我们需要加固内核。
Kees Cook 和其他一些人付出了巨大的努力,带来了一直在内核之外的加固特性,并将它们合并或适配到内核中。在每个内核发行后,Cook 都对所有新的加固特性做一个总结。但是只加固内核是不够的,供应商们必须要启用这些新特性来让它们充分发挥作用,但他们并没有这么做。
Kroah-Hartman 每周发布一个稳定版内核,而为了长期的支持,公司们只从中挑选一个,以便于设备制造商能够利用它。但是,Kroah-Hartman 注意到,除了 Google Pixel 之外,大多数 Android 手机并不包含这些额外的安全加固特性,这就意味着,所有的这些手机都是有漏洞的。他说: 人们应该去启用这些加固特性 。
Kroah-Hartman 说: 我购买了基于 Linux 内核 4.4 的所有旗舰级手机,去查看它们中哪些确实升级了新特性。结果我发现只有一家公司升级了它们的内核。 我在整个供应链中努力去解决这个问题,因为这是一个很棘手的问题。它涉及许多不同的组织 SoC 制造商、运营商等等。关键点是,需要他们把我们辛辛苦苦设计的内核去推送给大家。
好消息是,与消费电子产品不一样,像 Red Hat 和 SUSE 这样的大供应商,在企业环境中持续对内核进行更新。使用容器、pod 和虚拟化的现代系统做到这一点更容易了。无需停机就可以毫不费力地更新和重启。事实上,现在来保证系统安全相比过去容易多了。
Meltdown 和 Spectre没有任何一个关于安全的讨论能够避免提及 Meltdown 和 Spectre 缺陷。内核社区一直致力于修改新发现的和已查明的安全漏洞。不管怎样,Intel 已经因为这些事情改变了它们的策略。
Kroah-Hartman 说: 他们已经重新研究如何处理安全 bug,以及如何与社区合作,因为他们知道他们做错了。内核已经修复了几乎所有大的 Spectre 问题,但是还有一些小问题仍在处理中 。
好消息是,这些 Intel 漏洞使得内核社区正在变得更好。Kroah-Hartman 说: 我们需要做更多的测试。对于最新一轮的安全补丁,在它们被发布之前,我们自己花了四个月时间来测试它们,因为我们要防止这个安全问题在全世界扩散。而一旦这些漏洞在真实的世界中被利用,将让我们认识到我们所依赖的基础设施是多么的脆弱,我们多年来一直在做这种测试,这确保了其它人不会遭到这些 bug 的伤害。所以说,Intel 的这些漏洞在某种程度上让内核社区变得更好了 。
对安全的日渐关注也为那些有才华的人创造了更多的工作机会。由于安全是个极具吸引力的领域,那些希望在内核空间中有所建树的人,安全将是他们一个很好的起点。
Kroah-Hartman 说: 如果有人想从事这方面的工作,我们有大量的公司愿意雇佣他们。我知道一些开始去修复 bug 的人已经被他们雇佣了。
你可以在下面链接的视频上查看更多的内容:
via: https://www.linux.com/blog/2018/10/greg-kroah-hartman-explains-how-kernel-community-securing-linux-0
作者:SWAPNIL BHARTIYA 选题:oska874 译者:qhwdw 校对:wxy
本文由 LCTT 原创编译,Linux中国 荣誉推出
原创文章,作者:ItWorker,如若转载,请注明出处:https://blog.ytso.com/56389.html
Androidgooglelinux软件开发相关文章
- 快速开始:Linux安装应用指南(linux安装应用)
- Linux内核网络编程:构建高效可靠互联系统(linux内核网络编程)
- LINUX系统下快速访问MySQL数据库(linux访问mysql)
- 重启Linux服务器,恢复SSH连接(linux重启ssh)
- 统计Linux系统内核数量的方法(查看linux核数)
- Linux内核3.2:开放、稳定、高效(linux内核3.2)
- 家展现Linux强大魅力的玩家(linux玩)
- 上线协作办公Linux内核豆瓣强力助力办公协作(linux内核豆瓣)
- Linux静态网站快速部署指南(linux部署静态网站)
- 深入理解Linux内核信息(linux内核信息)
- Linux分支:各种选择让每个用户满意(linux的分支)
- 掌握Linux服务器温度,保障运行安全(linux服务器温度)
- 版本Linux分支版本:探索多元化操作系统(linux的分支)
- Linux发展历程:从分支到成熟(linux的分支)
- Linux发送邮件实战:七步曲(linux下发送邮件)
- Linux系统编译内核的五大步骤(linux编译内核步骤)
- Linux查看文件编码的简便方法(linux编码查看)
- Linux内核文件系统简介(linux内核文件系统)
- 超越界限:探索Linux超极本世界(超极本linux)
- 历程 Linux内核:从零到一的发展历程(linux内核发展)
- Linux虚拟主机:开启安全的虚拟之旅(linux虚拟主机下载)
- Linux AES加密——保护计算机安全的最佳方案(linux aes 加密)
- Linux 认证让你更加安全地登录(linux 认证登录)
- 轻松释放Linux空间,让系统恢复活力(linux空间释放)
- Linux简单实用,目录查找一键完成(linux当前目录查找)
- 深入解析 Linux 内核中的信号量机制(linux内核信号量)
- 揭秘Linux内核日志背后的秘密(linux 内核 log)
- Linux 内核学习视频教程(linux 内核视频教程)
- Linux内容精挑细选,安全过滤保护网络(linux内容过滤)
- Linux内核:如何处理中断(linux 内核中断处理)
- 上海Linux内核 启动新蓝图!(上海linux内核招聘)
- 文件Linux解压zip文件的简单步骤(linux怎么解压zip)