لینوکس ایمن تر می شود.
گوگل و بنیاد لینوکس اخیراً اعلام کرده اند که Google به دو توسعه دهنده امنیت تمام وقت لینوکس کمک مالی می کند تا کاملاً بر روی امنیت هسته کار کنند.
همیشه جایی برای امنیت لینوکس وجود دارد پیشرفت ها – به ویژه با پروژه ای که در حال حاضر نزدیک به 29 میلیون خط کد وزن دارد ، به این معنی که فضای زیادی برای اشتباه وجود دارد. از آنجا که لینوکس منبع باز است ، این کد برای دیدن همه آزاد است ، حتی بازیگران بدی که به دنبال آسیب پذیری برای سو استفاده هستند.
محافظت در برابر سوits استفاده مهم است ، زیرا لینوکس نه تنها اکثر بارهای مرکز داده و اکثر تخمین زده شده وب سرورها را تأمین می کند ، بلکه دستگاه های اینترنت اشیا را در لبه های خود اجرا می کند و ستون فقرات دستگاه های مصرف کننده مانند تلفن های Android و Chromebook است.
اتصال منبع باز Google
این اولین باری نیست که گوگل برای تأمین بودجه توسعه دهندگان امنیت لینوکس برای پروژه های منبع باز اقدام می کند. در اوایل ماه فوریه ، گوگل 350،000 دلار به بنیاد نرم افزار پایتون کمک کرد تا از پروژه های متمرکز بر بهبود امنیت زنجیره تأمین پشتیبانی کند. این همچنین یک عضو بنیانگذار حقوق بشر بنیاد امنیت منبع آزاد ، یک پروژه بنیاد لینوکس است که به بهبود امنیت نرم افزار منبع باز اختصاص داده شده است.
طبق گفته Dan Lorenc ، مهندسی با تیم امنیتی منبع باز گوگل ، علاقه Google برای بهبود امنیت لینوکس از نقش آن به عنوان تولید کننده نرم افزار منبع باز ناشی می شود.
وی گفت: “تیم ما مسئولیت سهولت استفاده نرم افزارهای منبع باز توسط Google را كه به عنوان وابسته به منظور تأمین تقریباً تمام زیرساخت های خود استفاده می كنیم ، برای كاربران آسان كرده است.” “همچنین ، برای ایجاد آسان و آسان تولید مهندسین گوگل برای تولید و تحویل نرم افزار منبع باز در مواردی مانند Chrome ، Android و cloud – در سراسر Google.”
تیم امنیتی اختصاصی جدید لینوکس
دو توسعه دهنده امنیت لینوکس که گوگل بودجه آنها را تأمین می کند ، در حال حاضر حافظه های هسته هسته لینوکس هستند. لورنس گفت ، این برای دوره مساوی است ، زیرا روش Google برای شروع اقدامات امنیتی در پروژه های نرم افزاری موجود ، کار با افرادی است که از قبل به عنوان نگهدارنده فعال در هیئت مدیره هستند.
از میان این دو ، گوستاوو سیلوا ، که اولین وصله هسته خود را در سال 2010 ارسال کرد و اکنون یکی از اعضای فعال پروژه Kernel Self Protection است ، بیشترین تجربه را به عنوان یک توسعه دهنده لینوکس دارد. از سال 2017 او با بیش از 2000 تعهد به طور مداوم یکی از پنج فعال فعال هسته بوده است. Nathan Chancellor ، دیگر توسعه دهنده امنیت تمام وقت جدید ، هنگام تحصیل در مدرسه بر روی لینوکس کار می کرد.
“ناتان این کار را در حالی انجام می داد که به دانشگاه می رفت ، فقط شب ها و آخر هفته ها ، و هنگامی که ما در سراسر Google با افراد مختلف صحبت می کردیم و به دنبال توصیه هایی در مورد اینکه چه کسی می تواند این برنامه را گسترش دهد ، نام او به عنوان کسی پرش شد که ممکن است بخواهید بتوانید این کار را با تمام بودجه تمام وقت انجام دهید ، “لورنس گفت.
“به این ترتیب است که ما می توانیم این روش را بدون نیاز به تعداد زیادی از افراد جدید که به زمان نیاز دارند تا جمع شوند و ملاقات کنند و بفهمند چگونه با جامعه موجود کار می کنند ، درجه بندی کنیم.”
پیدا کردن حفره های امنیتی
کار امنیتی سیلوا لینوکس به حذف چندین کلاس از سرریز بافر اختصاص دارد ، در درجه اول با استفاده از هشدارهای صادر شده توسط کامپایلر GCC که برای تبدیل کد قابل خواندن توسط انسان برای نوشتن لینوکس به کد باینری استفاده شده توسط رایانه ها استفاده می شود.
لورنس گفت: “کار گوستاوو این است که تمام هشدارهای کامپایلر مختلف را که هنگام ساخت هسته لینوکس خسته می شوند ، کاهش دهد.” “هزاران نفر از آنها وجود دارد ، بسته به نوع ساخت آن ، و کامپایلرها باهوش تر می شوند و هشدارهای بیشتری را به مرور اضافه می کنند. او فقط هر کجا که بتواند مرتب می کند ، به دنبال خطرناک ترین ها می رود و روی اولین موارد تمرکز می کند.”
صدراعظم ، که تحت پروژه ClangBuiltLinux ، یک تلاش مشترک برای به دست آوردن ساختمان هسته لینوکس با ابزارهای کامپایلر Clang و LLVM ، به لینوکس کمک کرده است ، کار مشابهی را انجام خواهد داد ، اما به جای GCC با Clang.
لورنس گفت: “Clang دارای یک مجموعه بررسی امنیتی کاملاً متفاوت است که می تواند انجام دهد و شاید بتواند به شناسایی و یافتن سایر سرریزهای بافر و موارد دیگر از این قبیل کمک کند.” “این همچنین بخشی از برخی از تلاش های طولانی مدت دیگر است ، مواردی مانند کنترل یکپارچگی جریان جریان در هسته ، وجود زنجیره ابزار Clang را مهم می کند.”
وی افزود: “این روشی است برای كاهش اثرات سرریز بافر در صورت بروز ، تا با مدیریت فن آوری جدید كامپایلر ، آنها را از خطر كاهش دهد.”
درگیر کردن دیگران
لورنک گفت که یکی از دلایلی که گوگل در مورد تأمین بودجه پروژه های امنیتی منبع باز و توسعه دهندگان امنیت لینوکس علنی شده است این است که امیدوار است با استفاده از لینوکس و منبع باز نمونه ای برای سایر شرکت ها باشد.
“ما با بسیاری از افرادی که از لینوکس استفاده می کنند و از بسته های منبع باز دیگری استفاده می کنند صحبت می کنیم و همه تصدیق می کنند که باید راه هایی برای حمایت بهتر از نگهدارندگان کم حقوق و کار بیش از حد انجام دهند که این کارها را انجام می دهند و مردم با چگونگی انجام این کار دست و پنجه نرم می کنند.” او گفت.
لورنس افزود: “یكی از دلایلی كه ما این موضوع را اعلام كردیم فقط نشان دادن چگونگی كارآیی این روش و برخی از راه هایی است كه ما با این مشكل روبرو شده ایم تا به دیگران كمك كند. “اگر در جایی از لینوکس استفاده می کنید و می خواهید به بهبود آن کمک کنید ، این یک برنامه مناسب و روش خوبی برای درگیر شدن و تلاش برای انجام آن است.”