linux: 2017年的linux内核防护依然脆弱-k8凯发棋牌

hardenedlinux 写道

"linux 内核 “社区” 对待安全的优先级并不高，虽然经历了 2000 年代的多次大规模漏洞利用事件但并没有让 linus torvalds 本人改变 "a bug is bug" 的哲学，由于 linux 内核的安全问题逐渐影响到了 android 和 iot 设备，一次 华盛顿邮报的曝光促使了 kspp（linux 内核自防护项目）的成立，kspp 是由 linux 基金会旗下的 cii（基础架构联盟）管理，其吸纳了来自诸多大厂商（google, redhat, intel, arm 等）的工程师进行联合工作，可惜的是两年的时间过去了，kspp 大多时候只是在重复的抄袭 pax/grsecurity 的各种特性以获得各自雇主那里的 kpi 和 credit，各种混乱的代码合并到了 linux 主线影响了 pax/grsecurity 的正常开发，这也是 pax/grsecurity 关闭公开访问 test patch 的主要原因之一，最近由 qualys 曝光的 stack clash 是一个古老的漏洞利用平面的工程化，这威胁到了几乎所有类 unix 系统（包括 gnu/linux）的安全，当 linux 内核 x86 的 maintainer 之一 andy lutomirski 问及 pax/grsecurity 是如何修复时 linus 直接回复了 grsecurity 是垃圾，有趣的是当 pax/grsecurity 的作者之一 spender 曝光了一些内核最近的 silent fix 以后 linus 居然 “邀请”pax team/spender 直接贡献代码到 linux 内核代码，这是不大可能发生的，因为今天所谓的内核 “社区” 主要是由一帮大厂商的雇员组成，没有人有义务免费的贡献代码去帮助那些需要从雇主那里获得 kpi 的工程师，更讽刺的是， stack clash 的部分修复居然来自 pax/grsecurity 于 2010 年的代码，linus 说 pax/grsecurity 是垃圾也等同于打 kspp 的脸，因为 kspp 还在继续抄袭 pax/grsecurity，而针对 linux 内核的漏洞利用是否大规模被恶代使用只是曝光与否的问题。此外，虽然 stack clash 的 * embargoed" 从开始到现在已经 1 个月，但至今 cve-2017-1000370(offset2lib bypass) 仍然未修复，redhat 网站上所谓的 "under investigation" 只是继续等待 linux 主线内核的修复，或许要让 linux 内核安全有所改善我们需要更多的 stack clash 和 dirtycow 持续曝光。

因为利益的关系，linux 基金会对自由软件社区和 gpl 已经非常不友好，虽然 greg k-hartman 一直强调 linux 基金会是一个非盈利组织，但一个 ngo 的 ceo 为什么有高达 49 万美金（2014 财年）的年薪，也没人知道为什么 greg 本人会有 google 的邮箱（拿 linux 基金会和 google 双薪水？），linux 内核本来有一次改善安全的机会，可惜 linux 基金会的市场 pr 需求搞砸了整件事。hardenedlinux 社区在这里建议所有的 gnu/linux 用户请认真重新评估数据资产的重要性所对应的安全等级。"