Otkrivene ozbiljne mane na Linuxu

Otvorena bezbednost izvlači kritiku

Prošle nedelje poljske sigurnosne firme iSec Security Research objavile su tri nove ranjivosti u najnovijem Linux jezgru, koji bi omogućio napadaču da povisuje svoje privilegije na mašini i izvršava programe kao root administrator.

Ovo su samo najnovije u seriji ozbiljnih ili kritičnih bezbednosnih ranjivosti otkrivenih u Linuxu tokom proteklih nekoliko mjeseci. Sala odbora u Microsoft-u verovatno dobija zabavu, ili bar osećaj neke olakšice, iz ironije da bi otvoreni izvor trebalo da bude sigurniji, a ipak ovi ključni nedostaci se i dalje nalaze.

Nedostaje oznaka, ali po mom mišljenju tvrdim da je softver otvorenog koda podrazumevano sigurniji. Za početak, verujem da je softver jednako siguran kao korisnik ili administrator koji ga konfiguriše i održava. Iako neki mogu tvrditi da je Linux više siguran iz kutije, korisnik neupućenog Linux-a je isto tako nesiguran kao neobičan korisnik Microsoft Windows-a.

Drugi aspekt toga je da su programeri i dalje ljudi. Od hiljada i milionske linije koda koji čine operativni sistem, čini se pošteno reći da se nešto može propuštati i na kraju će biti otkrivena ranjivost.

U njoj se nalazi razlika između otvorenog koda i vlasništva. Microsoft je EEye Digital Security obavestio o nedostacima sa njihovom implementacijom ASN.1 osam meseci pre nego što su javno objavili ranjivost i objavili zakrpe. To je bilo osam meseci tokom kojeg su loši momci mogli otkriti i eksploatisati manu.

Otvoreni izvor s druge strane ima tendenciju da se poprave i ažurira mnogo brže. Postoji toliko programera koji imaju pristup izvornom kodu koji je otkrio grešku ili ranjivost i najavio da se zakrpa ili ažuriranje objavljuju što je brže moguće. Linux je pogrešan, ali izgleda da zajednica otvorenog koda mnogo brže reaguje na probleme dok se pojavljuju i odgovore sa odgovarajućim ažuriranjima mnogo brže nego pokušavaju da sahrane postojanje ranjivosti dok se ne približe rješavanju problema.

To je rekao da Linux korisnici trebaju biti svjesni ovih novih ranjivosti i osigurati da ostanu obaviješteni o najnovijim ispravkama i ispravkama od njihovih odgovarajućih proizvođača Linuxa. Jedna opomena sa ovim nedostacima je što se oni ne mogu eksploatisati odvojeno. To znači da za napad na sistem koristeći ove ranjivosti, napadač mora imati fizički pristup mašini.

Mnogi stručnjaci za bezbednost se slažu da kada napadač fizički pristupi računaru, rukavice su isključene i skoro svaka sigurnost može biti zaobiđena. To su udaljeni eksploatisane ranjivosti - mana koja se mogu napasti iz sistema daleko ili izvan lokalne mreže - koja predstavljaju najveću opasnost.

Za više informacija pogledajte detaljne opise ranjivosti iz iSec Security Research na desnoj strani ovog članka.