Debata o bezp. chybách v Linuxu a zveřejňování

LinuxWorld rozebírá diskuzi, která se vede okolo zveřejňování bezpečnostních chyb nalezených v Linuxu. Zažehlo ji vydání verze 2.6.25.10, kde nebylo řečeno, jaká závažná chyba byla opravena, ale jen že je důrazně doporučován update. Linus také nechce, aby se daly příliš snadno nalézat bezpečnostní chyby přes git-log. Cílem je znesnadnit práci těm, kteří by takové chyby rádi zneužili.

23.7.2008 08:25 | Luboš Doležel (Doli) | Zajímavý článek

Komentáře

[xm]

Tohle je smutné Security through obscurity nefunguje a nikdy nefungovalo, Linux se s takovýmto přístupem žene do pekel :-/

[honza]

Když odcházíš z domova zamykaš dveře? Proč, když se vždy najde někdo, kdo se dovnitř dostane, když bude opravdu chtít. Vím, není to to samé, ale čím víc joudů odradíš, tím líp ne?

[Peter Golis]

Medzi zamknutím a zatajením informácie že som mal alebo mám odomknuté je značný rozdiel a nemyslím že by som tým niekoho odradil. Skôr sa jedná o obscurity umožňujúce umelo udržovať uptime na systémoch kde je bezpečnosť kontraproduktívna.

[Semo]

Dat si diff medzi dvomi verziami jadra mozem aj bez git-logu. Clovek, ktory je schopny vytvorit exploit, sa bez git-logu zaobide.

[Field]

Ono taky Linusovi nevadi, ze si tu chybu muzete rucne dohledat. Jemu vadi pripady, kdy by to bylo mozne najit velmi snadno nebo dokonce automaticky jen s pouzitim git-log a grepu pro stringy typu 'exploit', 'security' nebo 'overflow'. Pokud do toho investujete svuj cas a mozek pri procitani zdrojaku, tak vam v tom samozrejme nikdo nezabrani.

[Mak]

Proste jim mnohem vice vadi, ze lze chyby vyhledat grepem (coz je mimochodem klasicky UNIXovy pristup k veci) nez ze je v jadre spousta chyb, z nichz mnohe jdou zneuzit i vzdalene.

[Peto_MiG]

Predpokladám, že tie chyby sú už ohlásené, alebo ak nie sú a vieš o nich, tak si ich ohlásil.