Bảo mật nguồn mở rút ra phê phán
Tuần trước, 3 lỗ hổng mới được công bố bởi công ty bảo mật của iSec Security Research của Ba Lan trong hạt nhân Linux mới nhất có thể cho phép kẻ tấn công nâng cao đặc quyền của họ trên máy và thực hiện các chương trình với tư cách quản trị viên gốc.
Đây chỉ là mới nhất trong một loạt các lỗ hổng bảo mật nghiêm trọng hoặc nghiêm trọng được phát hiện trong Linux trong vài tháng qua. Phòng hội đồng quản trị của Microsoft có lẽ sẽ nhận được một số giải trí, hoặc ít nhất là cảm thấy nhẹ nhõm, từ sự trớ trêu rằng nguồn mở được cho là an toàn hơn và những lỗi này vẫn tiếp tục được tìm thấy.
Mặc dù vậy, nó bỏ qua dấu hiệu mặc dù tôi cho rằng phần mềm nguồn mở là an toàn hơn theo mặc định. Để bắt đầu, tôi tin rằng phần mềm chỉ an toàn như người dùng hoặc quản trị viên cấu hình và duy trì nó. Mặc dù một số người có thể cho rằng Linux là an toàn hơn trong hộp, một người dùng Linux không biết gì cũng không an toàn như một người dùng Microsoft Windows không biết gì.
Khía cạnh khác của nó là các nhà phát triển vẫn là con người. Trong số hàng ngàn và hàng triệu dòng mã tạo nên một hệ điều hành, có vẻ công bằng khi nói rằng một cái gì đó có thể bị bỏ sót và cuối cùng một lỗ hổng sẽ được phát hiện.
Trong đó có sự khác biệt giữa mã nguồn mở và độc quyền. Microsoft đã được EEye Digital Security thông báo về những sai sót khi họ thực hiện ASN.1 8 tháng trước khi họ công bố lỗ hổng công khai và phát hành một bản vá. Đó là tám tháng trong đó những kẻ xấu có thể đã phát hiện và khai thác lỗ hổng.
Mặt khác, mã nguồn mở có xu hướng được vá và cập nhật nhanh hơn nhiều. Có rất nhiều nhà phát triển có quyền truy cập vào mã nguồn mà một khi lỗ hổng hoặc lỗ hổng được phát hiện và công bố bản vá hoặc bản cập nhật được phát hành nhanh nhất có thể. Linux có thể sai lầm, nhưng cộng đồng nguồn mở dường như phản ứng nhanh hơn với các vấn đề khi chúng phát sinh và phản hồi với các bản cập nhật thích hợp nhanh hơn là cố gắng chôn vùi sự tồn tại của lỗ hổng cho đến khi chúng xử lý nó.
Điều đó nói rằng, người dùng Linux nên biết về các lỗ hổng mới này và đảm bảo rằng họ luôn được thông báo về các bản vá và bản cập nhật mới nhất từ các nhà cung cấp Linux tương ứng của họ. Một báo trước với những sai sót này là chúng không thể khai thác từ xa. Điều đó có nghĩa là để tấn công hệ thống bằng cách sử dụng các lỗ hổng này yêu cầu kẻ tấn công phải có quyền truy cập vật lý vào máy.
Nhiều chuyên gia bảo mật đồng ý rằng một khi kẻ tấn công có quyền truy cập vật lý vào máy tính thì găng tay bị tắt và hầu như mọi bảo mật đều có thể bị bỏ qua. Đó là lỗ hổng khai thác từ xa được khai thác có thể bị tấn công từ các hệ thống ở xa hoặc bên ngoài mạng cục bộ - hiện tại là mối nguy hiểm nhất.
Để biết thêm thông tin, hãy xem các mô tả chi tiết về lỗ hổng bảo mật từ iSec Security Research ở bên phải của bài viết này.